CVE 데이터베이스CVE-2022-28810

최종 갱신 2026-06-17English Advisory →

CVE-2022-288106.8/MEDIUMCISA KEV 등재CWE-78CWE-798CWE-798

Zoho ManageEngine ADSelfService Plus 원격 OS 명령 실행 및 자격 증명 오용 취약점 (CVE-2022-28810) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

zoho

대상 컴포넌트 / 패키지

manageengine adselfservice plus

권고문 발행일

2022-04-18

CVSS v3.1

6.8

MEDIUM

30일 악용확률

71.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Zoho ManageEngine ADSelfService Plus 6122 빌드 미만 버전

파급 효과

원격의 인증된 관리자 권한을 획득한 공격자가 정책 사용자 정의 스크립트 기능 및 입력값 검증 미흡을 악용하여 대상 시스템에서 SYSTEM 권한으로 임의의 OS 명령을 실행할 수 있습니다

권장 조치

즉시 ADSelfService Plus를 최신 빌드(6122 이상)로 업그레이드하고, 기본 관리자 패스워드를 변경하며, 외부 노출을 최소화하십시오

영향받는 제품 및 버전 범위

Zoho ManageEngine ADSelfService Plus 6122 빌드 미만의 모든 버전 (CISA KEV 등재 취약점, EPSS 점수 약 71%)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 ManageEngine 공식 패치 가이드를 준수하여 시스템을 6122 이상 빌드로 업데이트하는 것입니다. 아래 PowerShell 명령어를 사용하여 현재 설치된 ADSelfService Plus의 버전을 확인하고 업데이트 프로세스를 준비하십시오.

powershell

# ADSelfService Plus 설치 경로에서 빌드 버전 확인
$InstallPath = 'C:\ManageEngine\ADSelfService Plus\bin'
if (Test-Path "$InstallPath\product.info") {
    Get-Content "$InstallPath\product.info" | Select-String -Pattern 'buildnum'
} else {
    Write-Host 'ADSelfService Plus 설치 경로를 확인하십시오.' -ForegroundColor Red
}

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 기본 관리자(admin) 계정의 패스워드를 복잡한 임의의 문자열로 즉시 변경하고, 방화벽을 통해 ADSelfService Plus 관리 포트(기본 8888)에 대한 외부 접근을 차단해야 합니다.

bash

# IPTables를 이용한 외부 관리 포트 접근 제한 (특정 신뢰할 수 있는 IP 대역만 허용)
# 주의: 실제 환경에 맞게 IP 대역(192.168.1.0/24)을 수정하여 적용하십시오.
iptables -A INPUT -p tcp --dport 8888 -s 192.168.1.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 8888 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

서버 내에서 비정상적인 자식 프로세스(cmd.exe, powershell.exe)가 ADSelfService Plus 프로세스(java.exe)로부터 생성되었는지 검사하여 침해 여부를 확인합니다.

powershell

# java.exe(ADSelfService)가 생성한 비정상적인 하위 프로세스 탐지
Get-CimInstance Win32_Process | Where-Object {
    $_.ParentProcessId -in (Get-Process -Name 'java' -ErrorAction SilentlyContinue).Id
} | Select-Object ProcessId, Name, CommandLine, CreationDate | Format-Table -AutoSize

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

본 취약점은 실제 공격에 악용된 CISA KEV 등재 항목이므로, 즉시 6122 이상 빌드로 업그레이드하고 기본 관리자 패스워드를 변경하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-28810)은 Zoho ManageEngine ADSelfService Plus의 정책 사용자 정의 스크립트(Policy Custom Script) 기능 및 패스워드 입력 필드에서 발생하는 복합적인 보안 결함입니다. 첫째, 시스템 설계상 기본 관리자 계정의 패스워드가 취약하게 설정되어 있어 공격자가 관리자 권한을 손쉽게 탈취할 수 있습니다 (CWE-798). 둘째, 정책 설정 내 사용자 정의 스크립트 실행 기능에서 입력값 검증이 누락되어, 부분적으로 인증된 공격자가 패스워드 필드에 악성 명령어를 주입할 수 있는 OS 명령 주입(CWE-78) 취약점이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 기본 관리자 자격 증명을 무단 도용하거나, 패스워드 필드의 입력값 검증 미흡을 악용하여 세션을 획득합니다. 이후 ADSelfService Plus의 '사용자 정의 스크립트' 실행 트리거를 활성화하는 과정에서, 필터링되지 않은 입력값(예: 패스워드 필드 내 세미콜론 또는 파이프라인 기호 등)을 통해 임의의 OS 명령어를 주입합니다. 이 스크립트는 ADSelfService Plus 서비스가 구동되는 Windows 환경의 최고 권한인 'NT AUTHORITY\SYSTEM' 컨텍스트에서 실행되므로, 공격자는 대상 서버의 완전한 제어권을 획득하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

ADSelfService Plus는 Active Directory(AD)와 연동되어 임직원의 계정 및 패스워드 관리를 담당하는 핵심 ID 관리 솔루션입니다. 본 취약점이 악용되어 SYSTEM 권한이 탈취될 경우, 공격자는 AD 도메인 컨트롤러로의 횡적 이동(Lateral Movement)을 시도할 수 있으며, 사내 전체 사용자 자격 증명 탈취, 랜섬웨어 유포, 내부 기밀 데이터 유출 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 및 보안 사고를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.

http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

https://github.com/rapid7/metasploit-framework/pull/16475

출처: cve@mitre.org · Exploit, Patch, Third Party Advisory

https://www.manageengine.com/products/self-service-password/kb/cve-2022-28810.html

출처: cve@mitre.org · Patch, Vendor Advisory

https://www.rapid7.com/blog/post/2022/04/14/cve-2022-28810-manageengine-adselfservice-plus-authenticated-command-execution-fixed/

출처: cve@mitre.org · Exploit, Patch, Technical Description, Third Party Advisory

http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory, VDB Entry

https://github.com/rapid7/metasploit-framework/pull/16475

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Patch, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2022-28810)

FAQ

Q1. CVE-2022-28810 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-28810의 기본 점수는 CVSS 6.8 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 71.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-28810에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 zoho이며, 대상 컴포넌트는 manageengine adselfservice plus입니다. 상세 영향 범위: Zoho ManageEngine ADSelfService Plus 6122 빌드 미만의 모든 버전 (CISA KEV 등재 취약점, EPSS 점수 약 71%)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 즉시 ADSelfService Plus를 최신 빌드(6122 이상)로 업그레이드하고, 기본 관리자 패스워드를 변경하며, 외부 노출을 최소화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동