트렌드마이크로 Apex One 및 OfficeScan 임의 파일 쓰기 및 인증 우회 취약점 (CVE-2020-8599) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENT트렌드마이크로 Apex One (2019) 및 OfficeScan XG 서버.
인증되지 않은 원격 공격자가 임의 경로에 임의 데이터를 작성하여 ROOT 로그인을 우회하고 시스템을 완전히 장악할 수 있습니다.
트렌드마이크로 공식 패치 및 최신 크리티컬 패치(CP)를 즉시 적용하고 외부 노출 포트를 차단하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
트렌드마이크로 공식 지원 포털을 통해 제공되는 최신 Critical Patch(CP) 또는 서비스 팩을 다운로드하여 설치하십시오. 아래는 PowerShell을 통해 현재 설치된 Apex One 서비스 상태를 확인하고 패치 적용을 준비하는 예시입니다.
# Apex One / OfficeScan 관련 주요 서비스 상태 확인
Get-Service -Name 'OfcService', 'TMBMServer' | Select-Object Name, DisplayName, Status
# 패치 적용 전 안전한 서비스 중지 (관리자 권한 필요)
Stop-Service -Name 'OfcService' -Force2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용 전까지 외부망에서 Apex One 및 OfficeScan 관리 콘솔 포트(기본 TCP 4343, 8080 등)로의 직접적인 접근을 방화벽에서 원천 차단하십시오. 아래는 Windows 방화벽을 통해 신뢰할 수 없는 IP의 접근을 차단하는 규칙 설정 예시입니다.
# 외부망으로부터의 Apex One 관리 포트(TCP 4343) 접근 차단 및 특정 관리자 IP만 허용
New-NetFirewallRule -DisplayName 'Block_ApexOne_External' -Direction Inbound -LocalPort 4343 -Protocol TCP -Action Block
New-NetFirewallRule -DisplayName 'Allow_Admin_ApexOne' -Direction Inbound -LocalPort 4343 -Protocol TCP -RemoteAddress '192.168.10.50' -Action Allow3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
서버 내 웹 루트 디렉터리 및 임시 폴더에 비정상적인 파일이 생성되었는지 점검하고, IIS 로그에서 비정상적인 POST 요청을 탐지하십시오.
# 최근 7일간 생성되거나 변경된 .exe, .dll, .asp, .aspx 파일 검색
Get-ChildItem -Path 'C:\Program Files (x86)\Trend Micro\' -Recurse -Include *.exe, *.dll, *.asp, *.aspx | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-7) } | Select-Object FullName, LastWriteTime패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2020-8599)은 Trend Micro Apex One (2019) 및 OfficeScan XG 서버 내에 존재하는 특정 실행 파일(.exe)의 입력값 검증 미흡으로 인해 발생합니다. 공격자는 특수하게 조작된 요청을 전송하여 서버 내 임의의 경로에 임의의 데이터를 쓸 수 있는 권한을 획득하게 되며, 이를 통해 인증 메커니즘을 무력화하고 ROOT 로그인을 우회할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
해당 취약점은 원격에서 인증 없이 악용이 가능합니다. 공격자는 네트워크를 통해 대상 서버의 취약한 바이너리로 직접 조작된 패킷을 전송합니다. 이 과정에서 파일 경로 및 콘텐츠 제어 매개변수를 조작하여 웹 루트 디렉터리나 시스템 시작 폴더 등 임의의 위치에 악성 파일(예: 웹셸 또는 실행 파일)을 생성합니다. 이후 생성된 파일을 실행하거나 인증 세션 토큰을 강제로 덮어씀으로써 로그인 단계를 완전히 우회하고 최고 관리자(ROOT) 권한을 획득하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(실제 공격에 악용된 취약점 목록)에 등재되어 있습니다. 공격자가 이 취약점을 악용할 경우, 엔드포인트 보안을 총괄하는 관리 서버가 완전히 장악됩니다. 이는 전사 엔드포인트 백신 기능 무력화, 내부망 침투를 위한 거점 확보, 랜섬웨어 유포 및 기밀 데이터 유출 등 기업 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
Trend Micro Apex One (2019) and OfficeScan XG server contain a vulnerable EXE file that could allow a remote attacker to write arbitrary data to an arbitrary path on affected installations and bypass ROOT login. Authentication is not required to exploit this vulnerability.
자주 묻는 실무 질문 (FAQ — CVE-2020-8599)
FAQQ1. CVE-2020-8599 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2020-8599의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 11.9%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2020-8599에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 trendmicro이며, 대상 컴포넌트는 apex_one, officescan입니다. 상세 영향 범위: Trend Micro Apex One (2019) 및 OfficeScan XG 서버 전체 버전 (패치 미적용 상태)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 트렌드마이크로 공식 패치 및 최신 크리티컬 패치(CP)를 즉시 적용하고 외부 노출 포트를 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2020-8599 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (trendmicro)
동일 카테고리 전체 보기 →트렌드마이크로 Apex One 온프레미스 디렉터리 경로 변조 및 원격 코드 실행 취약점 (CVE-2026-34926)
[영향 대상] 트렌드마이크로 Apex One 온프레미스(On-Premise) 서버 환경.
Apple macOS 화면 공유(Screen Sharing) 인증 우회 취약점 (CVE-2026-65400)
[영향 대상] macOS Sequoia 15.7.9 미만, Sonoma 14.8.9 미만, Tahoe 26.6.1/26.7 미만, Golden Gate 27 미만 버전에서 화면 공유(Screen Sharing) 또는 VNC 서비스를 활성화하여 사용 중인 시스템
DAEMON Tools Lite 공식 설치 패키지 공급망 공격 및 백도어 삽입 취약점 (CVE-2026-8398)
[영향 대상] 2026년 4월 8일부터 5월 5일 사이에 공식 웹사이트에서 다운로드된 DAEMON Tools Lite Windows 버전 12.5.0.2421 ~ 12.5.0.2434
Microsoft Windows Shell 커맨드 인젝션 및 보안 기능 우회 취약점 (CVE-2026-96951) 긴급 보안 권고
[영향 대상] Windows 10, 11 및 Windows Server 등 Windows Shell 구성 요소를 사용하는 운영체제 전반
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.