Microsoft Exchange Server 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2023-21529)

1. 공식 보안 패치 적용

Microsoft 공식 가이드에 따라 사용 중인 Exchange Server 버전에 맞는 최신 보안 업데이트(SU) 또는 누적 업데이트(CU)를 적용하십시오.

2. 임시 완화 조치 (패치 적용 전)

패치 적용이 즉시 어려운 경우, 아래의 완화 조치를 검토하십시오.

• PowerShell 원격 분석 및 관리 제한:

일반 사용자의 원격 PowerShell 세션 연결을 제한하여 공격 표면을 줄입니다.

  # 특정 사용자의 원격 PowerShell 비활성화 예시
  Set-User -Identity "username" -RemotePowerShellEnabled $false

• 네트워크 세분화 및 접근 제어:

Exchange 관리 인터페이스(ECP) 및 PowerShell 가상 디렉터리에 대한 외부 접근을 차단하고, 신뢰할 수 있는 내부 IP 대역 또는 VPN을 통해서만 접근할 수 있도록 방화벽 규칙을 설정하십시오.

• WAF 및 침입 방지 시스템(IPS) 규칙 적용:

Exchange 웹 서비스(EWS) 및 OWA 경로로 유입되는 비정상적인 POST 요청 및 직렬화된 페이로드 패턴을 탐지/차단하도록 규칙을 업데이트하십시오.

본 취약점(CVE-2023-21529)은 Microsoft Exchange Server에서 발생하는 신뢰할 수 없는 데이터의 역직렬화(Deserialization of Untrusted Data, CWE-502) 취약점입니다.

공격자는 Exchange 서버에 로그인할 수 있는 일반 사용자 권한(인증된 세션)만 가지고 있다면, 백엔드 통신 과정에서 처리되는 특정 직렬화 객체를 변조하여 전송할 수 있습니다. Exchange 서버가 이 조작된 객체를 검증 없이 역직렬화하는 과정에서 공격자가 의도한 악성 페이로드가 실행됩니다.

이 취약점은 CVSS 8.8의 높은 위험도를 가지며, 실제 공격자들에 의해 악용되고 있음이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되었습니다. 특히 랜섬웨어 그룹(예: Storm-1175)이 초기 침투 경로로 악용하는 사례가 보고되어 신속한 대응이 요구됩니다.