AjaxPro.2 패키지 역직렬화 취약점 기반 원격 코드 실행(RCE) 분석 및 대응 가이드 (CVE-2021-23758)

1. 공식 패치 적용

개발사에서 제공하는 공식 보안 패치 커밋을 확인하고, 프로젝트의 의존성을 안전한 버전으로 업데이트하십시오.

• GitHub 패치 커밋: b0e63be5f0bb20dfce507cb8a1a9568f6e73de57

2. 임시 완화 조치 (Workaround)

패치 적용이 즉시 어려운 경우, 아래의 완화 조치를 검토하십시오.

web.config 설정 검토 및 처리기 제한

사용하지 않는 AjaxPro HTTP Handler 등록을 제거하거나 특정 IP 대역으로 제한하십시오.

<configuration>
  <system.webServer>
    <handlers>
      <!-- 사용하지 않는 경우 AjaxPro 처리기 제거 -->
      <remove name="AjaxPro" />
    </handlers>
  </system.webServer>
</configuration>

웹 애플리케이션 방화벽(WAF) 규칙 적용

AjaxPro 요청 본문(POST 요청의 JSON 페이로드) 내에 위험한 .NET 시스템 클래스 및 가젯 유형이 포함되어 있는지 탐지하는 규칙을 구성하십시오.

• 탐지 키워드 예시: System.Windows.Data.ObjectDataProvider, System.Diagnostics.Process, System.Configuration.Install.AssemblyInstaller 등

취약점 개요

AjaxPro.2(Ajax.NET Professional) 라이브러리는 .NET 환경에서 비동기 AJAX 요청을 처리하기 위해 널리 사용되는 오픈소스 구성 요소입니다. 본 취약점(CVE-2021-23758)은 입력 데이터에 대한 적절한 검증 없이 역직렬화를 수행할 때 발생하는 신뢰할 수 없는 데이터의 역직렬화(CWE-502) 취약점입니다.

공격 메커니즘 및 파급력

공격자는 AjaxPro가 제공하는 JSON/XML 역직렬화 엔드포인트로 악의적으로 조작된 페이로드를 전송합니다. 이 페이로드에는 시스템 내부에서 위험한 동작을 유발할 수 있는 특정 .NET 가젯 클래스(예: System.Windows.Data.ObjectDataProvider 등)의 정보가 포함되어 있습니다.

AjaxPro 엔진이 이 데이터를 역직렬화하는 과정에서 공격자가 지정한 임의의 .NET 클래스가 인스턴스화되고, 결과적으로 대상 웹 서버의 권한으로 임의의 시스템 명령어가 실행(RCE)될 수 있습니다. 이 취약점은 CVSS 9.8의 치명적(Critical) 등급을 받았으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 적극적으로 악용되고 있음이 확인되었습니다.