Zoho ManageEngine ServiceDesk Plus 미인증 원격 코드 실행(RCE) 취약점 (CVE-2021-44077) 분석 및 대응 가이드

# 1. ManageEngine 서비스 중지
cd /opt/ManageEngine/ServiceDesk/bin
sudo ./shutdown.sh

# 2. 패치 전 기존 데이터 및 디렉토리 전체 백업
tar -czvf /backup/servicedesk_backup_$(date +%F).tar.gz /opt/ManageEngine/ServiceDesk

# 3. 공식 업데이트 가이드를 통해 다운로드한 패치 파일(.ppm) 적용 준비
# (이후 UpdateManager.sh를 실행하여 패치 적용 진행)

# Nginx 설정 파일 (/etc/nginx/conf.d/manageengine.conf)
server {
    listen 443 ssl;
    server_name servicedesk.local;

    # 취약한 API 경로에 대한 외부 접근 차단
    location ~* /(RestAPI/ImportTechnicians|ImportTechnicians) {
        deny all;
        return 403;
    }

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

# 1. access_log에서 ImportTechnicians 호출 흔적 및 200 OK 응답 확인
grep -i 'ImportTechnicians' /opt/ManageEngine/ServiceDesk/logs/access_log* | grep ' 200 '

# 2. 웹 루트 디렉토리 내 최근 생성되거나 수정된 JSP 파일(웹셸 의심) 검색
find /opt/ManageEngine/ServiceDesk/webapps/ -name '*.jsp' -mtime -30 -ls