CVE 데이터베이스CVE-2022-22954

최종 갱신 2026-06-17English Advisory →

CVE-2022-229549.8/CRITICALCISA KEV 등재CWE-94CWE-94

VMware Workspace ONE Access 및 Identity Manager 서버 사이드 템플릿 인젝션(SSTI) 기반 원격 코드 실행 취약점 (CVE-2022-22954) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware

대상 컴포넌트 / 패키지

workspace_one_access, identity_manager

권고문 발행일

2022-04-11

CVSS v3.1

9.8

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

VMware Workspace ONE Access 및 Identity Manager 특정 버전

파급 효과

인증되지 않은 원격 공격자가 네트워크 접근을 통해 대상 서버에서 임의의 시스템 명령을 실행할 수 있는 치명적인 위험 (CVSS 9.8)

권장 조치

제조사 공식 보안 패치(VMSA-2022-0011)를 즉시 적용하고, 패치 적용 전까지 외부 노출 경로 차단 및 임시 완화 조치 수행

영향받는 제품 및 버전 범위

VMware Workspace ONE Access 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0 및 Identity Manager 3.3.6, 3.3.5, 3.3.4, 3.3.3 등 (VMSA-2022-0011 권고문 참조)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

VMware 공식 보안 권고(VMSA-2022-0011)에 따라 제공되는 핫픽스 및 패치 스크립트를 다운로드하여 실행합니다. 아래는 리눅스 어플라이언스 환경에서 패치를 적용하는 예시 명령어입니다.

bash

# 1. VMware 공식 패치 파일 다운로드 및 압축 해제
curl -L -O 'https://kb.vmware.com/s/article/88099?file=HW-vRealize-Suite-Lifecycle-Manager-8.x-Appliance-Patches.zip'
unzip HW-vRealize-Suite-Lifecycle-Manager-8.x-Appliance-Patches.zip

# 2. 패치 스크립트 실행 권한 부여 및 실행
chmod +x patch.sh
sudo ./patch.sh

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, 웹 애플리케이션 방화벽(WAF)에서 SSTI 공격 패턴을 차단하는 룰을 적용하거나 Nginx 리버스 프록시 단에서 취약한 엔드포인트로의 외부 접근을 차단해야 합니다.

nginx

# Nginx 리버스 프록시 설정 예시: 취약한 엔드포인트 외부 접근 차단
server {
    listen 80;
    server_name workspace.local;

    location ~* /catalog-portal/ui/oauth/signin {
        deny all;
        return 403;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 로그에서 Freemarker 템플릿 인젝션 시도 흔적(예: freemarker.template, Runtime, ProcessBuilder 등의 키워드)이 존재하는지 점검합니다.

bash

# 1. 웹 액세스 로그에서 SSTI 공격 페이로드 유무 검색
grep -Ei 'freemarker|exec|java.lang.Runtime|ProcessBuilder' /opt/vmware/horizon/workspace/logs/horizon.log

# 2. 현재 설치된 Workspace ONE Access 버전 확인
rpm -qa | grep -i 'identity-manager'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 공격에 적극 악용되고 있으므로, 외부 노출된 VMware Workspace ONE Access 장비는 즉시 공식 패치를 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-22954)은 VMware Workspace ONE Access 및 Identity Manager의 특정 웹 엔드포인트에서 사용자 입력값을 적절히 검증하지 않고 템플릿 엔진으로 전달할 때 발생하는 서버 사이드 템플릿 인젝션(SSTI) 취약점입니다. 공격자가 조작된 파라미터를 전송하면, 서버 내부의 Freemarker 템플릿 엔진이 이를 코드로 해석하고 실행하여 최종적으로 원격 코드 실행(RCE)으로 이어지게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 별도의 사용자 인증 없이도 특정 API 엔드포인트(예: /catalog-portal/ui/oauth/signin 등)의 파라미터에 Freemarker 템플릿 구문(${...})을 삽입하여 HTTP 요청을 전송합니다. 서버는 이 입력값을 검증 없이 렌더링하는 과정에서 템플릿 내부에 포함된 Java 클래스 로더 및 실행 메서드를 호출하게 되며, 이를 통해 공격자가 의도한 OS 명령어가 대상 서버의 권한으로 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

해당 취약점은 CVSS 9.8의 치명적인(Critical) 등급으로 평가되었으며, CISA KEV(실제 악용된 취약점 목록)에 등재되어 공격자들의 주요 표적이 되고 있습니다. 공격자가 이 취약점을 악용할 경우, 내부망 침투를 위한 교두보 확보, 기밀 데이터 탈취, 랜섬웨어 유포, 시스템 파괴 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 사태를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

VMware Workspace ONE Access and Identity Manager contain a remote code execution vulnerability due to server-side template injection. A malicious actor with network access can trigger a server-side template injection that may result in remote code execution.

http://packetstormsecurity.com/files/166935/VMware-Workspace-ONE-Access-Template-Injection-Command-Execution.html

출처: security@vmware.com · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2022-0011.html

출처: security@vmware.com · Vendor Advisory

http://packetstormsecurity.com/files/166935/VMware-Workspace-ONE-Access-Template-Injection-Command-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://www.vmware.com/security/advisories/VMSA-2022-0011.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22954

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-22954)

FAQ

Q1. CVE-2022-22954 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-22954의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-22954에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware이며, 대상 컴포넌트는 workspace_one_access, identity_manager입니다. 상세 영향 범위: VMware Workspace ONE Access 21.08.0.1, 21.08.0.0, 20.10.0.1, 20.10.0.0 및 Identity Manager 3.3.6, 3.3.5, 3.3.4, 3.3.3 등 (VMSA-2022-0011 권고문 참조)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 제조사 공식 보안 패치(VMSA-2022-0011)를 즉시 적용하고, 패치 적용 전까지 외부 노출 경로 차단 및 임시 완화 조치 수행 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동