CVE 데이터베이스CVE-2022-31199

최종 갱신 2026-06-17English Advisory →

CVE-2022-311999.8/CRITICALCISA KEV 등재CWE-502CWE-502

Netwrix Auditor 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2022-31199)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

netwrix

대상 컴포넌트 / 패키지

auditor

권고문 발행일

2022-11-08

CVSS v3.1

9.8

CRITICAL

30일 악용확률

36.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Netwrix Auditor 서버 및 모니터링 대상 시스템에 설치된 User Activity Video Recording 에이전트 구성 요소

파급 효과

인증되지 않은 원격 공격자가 대상 시스템 및 모니터링 대상 호스트에서 최고 권한인 'NT AUTHORITY\SYSTEM' 권한으로 임의 코드를 실행할 수 있습니다

권장 조치

Netwrix Auditor를 최신 안전한 버전으로 즉시 업그레이드하고, 에이전트 통신 포트에 대한 네트워크 방화벽 접근 제어를 적용하십시오

영향받는 제품 및 버전 범위

Netwrix Auditor 10.5 미만 버전 (User Activity Video Recording 구성 요소가 활성화된 서버 및 에이전트 환경)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Netwrix 공식 지원 포털을 통해 최신 패치 버전(10.5 이상)의 설치 프로그램을 다운로드하여 업그레이드를 진행하십시오. 에이전트의 경우 서버 업그레이드 시 자동으로 배포 및 업데이트되도록 설정할 수 있습니다. PowerShell을 통해 현재 설치된 Netwrix Auditor 버전을 확인하는 명령어는 다음과 같습니다:

powershell

# Netwrix Auditor 설치 버전 및 서비스 상태 확인
Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like '*Netwrix*' } | Select-Object Name, Version
Get-Service -Name *Netwrix* | Select-Object Name, Status, StartType

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Windows 방화벽을 사용하여 Netwrix Auditor 및 Video Recording 에이전트가 사용하는 포트(기본 포트 및 비표준 포트)에 대해 신뢰할 수 있는 IP 대역(예: 관리용 서브넷 또는 서버 IP)만 접근할 수 있도록 인바운드 규칙을 제한하십시오. 아래 PowerShell 스크립트는 에이전트 포트에 대한 비인가 접근을 차단합니다:

powershell

# Netwrix Video Recording 에이전트 포트(예: TCP 9004)에 대해 특정 관리자 IP만 허용하는 방화벽 규칙 생성
New-NetFirewallRule -DisplayName 'Block Unauthorized Netwrix Agent Access' `
    -Direction Inbound `
    -Action Block `
    -Protocol TCP `
    -LocalPort 9004

# 신뢰할 수 있는 특정 IP 대역만 허용하도록 규칙 수정
Set-NetFirewallRule -DisplayName 'Block Unauthorized Netwrix Agent Access' `
    -RemoteAddress '192.168.10.0/24' `
    -Action Allow

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Netwrix Auditor 관련 서비스 로그 및 Windows 이벤트 로그에서 비정상적인 하위 프로세스 생성(예: Netwrix.UAV.Agent.exe가 cmd.exe 또는 powershell.exe를 실행하는 행위)을 탐지해야 합니다. 아래 PowerShell 명령어를 통해 의심스러운 프로세스 계보를 추적하십시오:

powershell

# Netwrix 에이전트 프로세스에 의해 생성된 의심스러운 하위 프로세스 감사
Get-CimInstance Win32_Process | Where-Object {
    $_.ParentProcessId -in (Get-Process -Name *Netwrix* -ErrorAction SilentlyContinue).Id
} | Select-Object ProcessId, Name, CommandLine, CreationDate | Format-Table -AutoSize

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV 등재 및 EPSS 점수가 높은 고위험 취약점이므로, 즉시 Netwrix Auditor를 최신 안전한 버전으로 업그레이드하고 에이전트 포트 접근 제어를 강화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-31199)은 Netwrix Auditor의 'User Activity Video Recording' 구성 요소에서 발생하는 치명적인 원격 코드 실행(RCE) 취약점입니다. 이 취약점의 근본 원인은 신뢰할 수 없는 데이터의 역직렬화(CWE-502)에 기인합니다. Netwrix Auditor 서버와 모니터링 대상 에이전트 간의 통신 프로토콜에서 입력값 검증 및 안전한 역직렬화 메커니즘이 결여되어 있어, 공격자가 조작된 직렬화 객체를 전송할 경우 이를 처리하는 과정에서 임의 코드가 실행됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Netwrix Auditor 에이전트 또는 서버가 수신 대기 중인 특정 TCP 포트로 직접 소켓 연결을 시도합니다. 이후, .NET 역직렬화 가젯 체인(예: ObjectDataProvider 등)을 포함하는 악성 페이로드를 전송합니다. 시스템은 수신된 데이터를 검증 없이 역직렬화하는 과정에서 페이로드에 포함된 시스템 명령어를 실행하게 됩니다. 이 공격은 별도의 사용자 상호작용(UI)이나 사전 인증(Unauthenticated)을 요구하지 않으므로 매우 손쉽게 자동화된 익스플로잇이 가능합니다.

3. 비즈니스 및 인프라 파급 영향

Netwrix Auditor는 기업 내 Active Directory, 파일 서버, 데이터베이스 등 핵심 인프라를 모니터링하는 솔루션입니다. 따라서 본 취약점이 노출될 경우, 공격자는 모니터링 대상이 되는 모든 엔드포인트 및 도메인 컨트롤러에 대해 'NT AUTHORITY\SYSTEM'이라는 최상위 시스템 권한을 획득할 수 있습니다. 이는 도메인 장악, 랜섬웨어 유포, 내부 기밀 데이터 탈취 등 기업 비즈니스 연속성에 치명적인 파괴적 결과를 초래할 수 있습니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 야생(In-the-wild)에서 악용된 이력이 확인된 만큼 위험도가 극도로 높습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Remote code execution vulnerabilities exist in the Netwrix Auditor User Activity Video Recording component affecting both the Netwrix Auditor server and agents installed on monitored systems. The remote code execution vulnerabilities exist within the underlying protocol used by the component, and potentially allow an unauthenticated remote attacker to execute arbitrary code as the NT AUTHORITY\SYSTEM user on affected systems, including on systems Netwrix Auditor monitors.

https://bishopfox.com/blog/netwrix-auditor-advisory

출처: cve@mitre.org · Exploit, Third Party Advisory

https://bishopfox.com/blog/netwrix-auditor-advisory

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-31199

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-31199)

FAQ

Q1. CVE-2022-31199 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-31199의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 36.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2022-31199에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 netwrix이며, 대상 컴포넌트는 auditor입니다. 상세 영향 범위: Netwrix Auditor 10.5 미만 버전 (User Activity Video Recording 구성 요소가 활성화된 서버 및 에이전트 환경)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Netwrix Auditor를 최신 안전한 버전으로 즉시 업그레이드하고, 에이전트 통신 포트에 대한 네트워크 방화벽 접근 제어를 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동