VMware Workspace ONE UEM 콘솔 미인증 서버 측 요청 위조(SSRF) 취약점 (CVE-2021-22054) 분석 및 대응 가이드

# Workspace ONE UEM 설치 경로에서 콘솔 버전 확인
$UEMPath = 'C:\Program Files\AirWatch\Workspace ONE UEM\AirWatch.Web.Console\bin'
if (Test-Path $UEMPath) {
    Get-ItemProperty -Path "$UEMPath\AirWatch.Web.Console.dll" | Select-Object -Property VersionInfo | Format-List
} else {
    Write-Host 'Workspace ONE UEM Console path not found. Please check your installation directory.' -ForegroundColor Red
}

<!-- IIS web.config 내 <system.webServer> 섹션에 추가 -->
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name='Block_CVE-2021-22054_SSRF' stopProcessing='true'>
          <match url='^AirWatch/.*' />
          <conditions>
            <!-- 외부망 IP 대역에서 들어오는 요청 중 특정 취약 엔드포인트 패턴 매칭 시 차단 -->
            <add input='{HTTP_HOST}' pattern='^internal\.local$' negate='true' />
            <add input='{PATH_INFO}' pattern='(?i)/Catalog/GetImg' />
          </conditions>
          <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied by Security Policy' />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

# IIS 로그 디렉터리 설정 (환경에 맞게 수정 필요)
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*.log'

# SSRF 공격 시도 의심 패턴 검색 (예: 내부 IP 주소나 로컬호스트가 쿼리 스트링에 포함된 경우)
Select-String -Path $LogPath -Pattern '(?i)(127\.0\.0\.1|localhost|169\.254\.169\.254)' | 
Select-Object -Property Path, LineNumber, Line -First 50 | 
Format-Table -Wrap