CVE 데이터베이스CVE-2023-29357

최종 갱신 2026-06-17English Advisory →

CVE-2023-293579.8/CRITICALCISA KEV 등재CWE-303

Microsoft SharePoint Server 권한 상승 및 인증 우회 취약점 (CVE-2023-29357) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

sharepoint_server

권고문 발행일

2023-06-14

CVSS v3.1

9.8

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft SharePoint Server 2019 및 SharePoint Server Subscription Edition.

파급 효과

공격자가 인증되지 않은 상태에서 특수하게 제작된 JWT 토큰을 전송하여 관리자 권한을 획득하고, 원격 코드 실행(RCE)으로 연계할 수 있습니다.

권장 조치

Microsoft 공식 누적 업데이트(CU)를 즉시 적용하고, 패치 적용 전까지 IIS 및 네트워크 수준에서 비인증 접근을 차단하십시오.

영향받는 제품 및 버전 범위

Microsoft SharePoint Server 2019 및 SharePoint Server Subscription Edition (지원되는 모든 빌드 버전 중 2023년 6월 보안 패치 미적용 시스템).

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 Microsoft 공식 보안 업데이트를 적용하는 것입니다. SharePoint 관리 셸(SharePoint Management Shell)을 통해 현재 버전을 확인하고 최신 누적 업데이트(CU)를 다운로드하여 설치하십시오.

powershell

# SharePoint 팜 버전 확인
Get-SPFarm | Select-Object BuildVersion

# 패치 적용 후 SharePoint 구성 마법사 실행 (필수)
PS C:\> PSConfig.exe -cmd upgrade -inplace b2b -force -cmd applicationcontent -install -cmd features -install

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, IIS(인터넷 정보 서비스) 관리자에서 URL 재작성(URL Rewrite) 규칙을 구성하여 외부로부터의 비인가 OAuth 요청을 차단하거나, 방화벽을 통해 SharePoint API 엔드포인트로의 접근을 신뢰할 수 있는 IP 대역으로 제한하십시오.

xml

<!-- IIS web.config에 추가하여 외부 OAuth 토큰 요청 차단 예시 -->
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name='Block_External_OAuth' stopProcessing='true'>
          <match url='.*' />
          <conditions>
            <add input='{HTTP_AUTHORIZATION}' pattern='^Bearer\s(.*)' />
            <add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
          </conditions>
          <action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

IIS W3C 로그에서 비정상적인 Bearer 토큰 요청 패턴이나, 인증되지 않은 IP로부터의 관리자 API 호출 흔적을 탐지하는 PowerShell 스크립트입니다.

powershell

# IIS 로그 디렉토리에서 Bearer 토큰을 포함한 API 호출 분석
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*'
Select-String -Path $LogPath -Pattern 'Bearer' | 
    Select-Object -First 50 | 
    Format-Table Line

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 악용 중인 취약점이므로, 즉시 Microsoft 공식 누적 업데이트를 적용하고 구성 마법사를 실행하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-29357)은 Microsoft SharePoint Server에서 발생하는 심각한 권한 상승(Elevation of Privilege) 취약점입니다. 원인은 SharePoint가 수신하는 OAuth JWT(JSON Web Token) 토큰의 유효성을 검증하는 과정에서 발생합니다. SharePoint는 특정 API 엔드포인트에서 서명되지 않거나 잘못 서명된 JWT 토큰의 서명 검증 알고리즘(alg: 'none') 또는 특정 클레임 검증을 올바르게 수행하지 못하는 설계 결함(CWE-303)을 가지고 있습니다. 이로 인해 공격자는 임의의 사용자(예: 팜 관리자)로 위장한 위조 토큰을 생성하여 인증을 완전히 우회할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 SharePoint 서버의 공개된 엔드포인트를 탐색한 후, 대상 시스템의 내부 구조에 맞추어 위조된 JWT 토큰을 생성합니다. 이 토큰의 헤더 및 페이로드에 관리자 SID 또는 클레임 정보를 주입하고, 서명 검증을 우회하도록 조작합니다. 조작된 토큰을 HTTP Authorization 헤더에 포함하여 API 요청을 전송하면, SharePoint 서버는 이를 신뢰할 수 있는 유효한 관리자 세션으로 오인하여 처리합니다. 이 취약점은 단독으로도 치명적이지만, 다른 원격 코드 실행(RCE) 취약점(예: CVE-2023-24955)과 체이닝되어 완전한 시스템 장악으로 이어지는 시나리오가 실제 위협 환경에서 관찰되었습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 치명적인 등급을 받았으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 관리자 권한을 획득할 경우, SharePoint 내에 저장된 기업의 기밀 문서, 지적 재산권(IP), 개인정보 등 모든 민감 데이터에 무단 접근 및 탈취가 가능합니다. 또한, Active Directory 인프라와의 연계를 통해 내부망 전체로 공격을 확산시키는 교두보로 악용될 수 있어 비즈니스 연속성에 치명적인 타격을 줄 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Microsoft SharePoint Server Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357

출처: secure@microsoft.com · Patch, Vendor Advisory

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-29357

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2023-29357)

FAQ

Q1. CVE-2023-29357 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2023-29357의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2023-29357에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 sharepoint_server입니다. 상세 영향 범위: Microsoft SharePoint Server 2019 및 SharePoint Server Subscription Edition (지원되는 모든 빌드 버전 중 2023년 6월 보안 패치 미적용 시스템).

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 누적 업데이트(CU)를 즉시 적용하고, 패치 적용 전까지 IIS 및 네트워크 수준에서 비인증 접근을 차단하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동