Checkbox Survey 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2021-27852)

# Checkbox Survey 설치 디렉터리에서 현재 CheckboxWeb.dll 버전을 확인합니다.
(Get-Item 'C:\inetpub\wwwroot\Checkbox\bin\CheckboxWeb.dll').VersionInfo.FileVersion

# 최신 안전 버전으로 마이그레이션하기 위해 공식 업데이트 패키지를 적용하십시오.
# (참고: 프로덕션 환경 적용 전 스테이징 환경에서 충분한 호환성 테스트를 수행하십시오.)

<!-- web.config 파일의 <system.webServer> 섹션에 아래 규칙을 추가하여 외부 접근을 제한합니다 -->
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name='Block External Access to Checkbox Admin' stopProcessing='true'>
          <match url='^(admin|api/v1/admin)' />
          <conditions>
            <add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
          </conditions>
          <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

# IIS 로그 디렉터리에서 대량의 POST 요청이나 비정상적인 페이로드 전송 흔적을 검색합니다.
Select-String -Path 'C:\inetpub\logs\LogFiles\W3SVC1\*.log' -Pattern 'POST' | Select-Object -First 50

# w3wp.exe 프로세스에서 파생된 비정상적인 하위 프로세스(cmd, powershell)가 있는지 실시간 모니터링합니다.
Get-CimInstance Win32_Process -Filter "Name = 'cmd.exe' or Name = 'powershell.exe'" | 
Where-Object { (Get-Process -Id $_.ParentProcessId).ProcessName -eq 'w3wp' } | 
Select-Object ProcessId, CommandLine, CreationDate