CVE 데이터베이스CVE-2023-40044

최종 갱신 2026-06-17English Advisory →

CVE-2023-400448.8/HIGHCISA KEV 등재CWE-502CWE-502

Progress WS_FTP Server Ad Hoc Transfer 모듈 .NET 역직렬화 원격 코드 실행(RCE) 취약점 (CVE-2023-40044)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

progress

대상 컴포넌트 / 패키지

ws_ftp_server

권고문 발행일

2023-09-27

CVSS v3.1

8.8

HIGH

30일 악용확률

90.3%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Progress WS_FTP Server 8.7.4 미만 및 8.8.2 미만 버전의 Ad Hoc Transfer 모듈

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 .NET 직렬화 데이터를 전송하여 대상 서버의 OS 권한으로 임의 명령을 실행할 수 있습니다

권장 조치

즉시 최신 패치 버전(8.7.4, 8.8.2 이상)으로 업그레이드하거나, Ad Hoc Transfer 모듈을 비활성화/삭제하십시오

영향받는 제품 및 버전 범위

Progress WS_FTP Server 8.7.4 미만 버전 및 8.8.2 미만 버전 (Ad Hoc Transfer 모듈이 활성화된 환경)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 Progress 공식 패치가 적용된 버전으로 업그레이드하는 것입니다.

WS_FTP Server 버전을 확인하고 아래 가이드에 따라 최신 설치 프로그램을 실행하십시오:

powershell

# WS_FTP Server 서비스 상태 확인 및 최신 설치 프로그램 실행 전 백업
Stop-Service -Name 'Ipswitch WS_FTP Web Server' -Force
Stop-Service -Name 'WS_FTP Server' -Force

# 공식 웹사이트에서 다운로드한 최신 패키지(8.7.4 또는 8.8.2+) 설치 파일 실행
Start-Process -FilePath '.\WS_FTP_Server_8.8.2_Install.exe' -ArgumentList '/s /v"/qn"' -Wait

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 취약한 Ad Hoc Transfer 모듈을 IIS에서 비활성화하거나 삭제해야 합니다.

IIS 관리자에서 Ad Hoc Transfer 애플리케이션 풀을 중지하고 웹 애플리케이션을 제거하는 PowerShell 스크립트입니다:

powershell

Import-Module WebAdministration

# Ad Hoc Transfer 가상 디렉터리 및 애플리케이션 삭제
Remove-WebApplication -Site 'Default Web Site' -Name 'AHT'
Remove-WebVirtualDirectory -Site 'Default Web Site' -Name 'AHT'

# Ad Hoc Transfer 전용 애플리케이션 풀 중지
Stop-WebAppPool -Name 'AHTPool'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

IIS 로그 및 이벤트 로그를 분석하여 역직렬화 공격 시도 및 웹셸 생성 여부를 점검합니다.

powershell

# IIS 로그에서 Ad Hoc Transfer(AHT) 경로에 대한 비정상적인 POST 요청 검색
Select-String -Path 'C:\inetpub\logs\LogFiles\W3SVC1\*.log' -Pattern '/AHT/' | 
Where-Object { $_ -match 'POST' } | 
Select-Object -First 50

# IIS 작업자 프로세스(w3wp.exe)가 비정상적인 하위 프로세스(cmd.exe, powershell.exe)를 생성했는지 확인
Get-CimInstance Win32_Process | Where-Object {
    $_.ParentProcessId -in (Get-Process -Name w3wp -ErrorAction SilentlyContinue).Id
} | Select-Object ProcessId, Name, CommandLine, CreationDate

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점으로 실제 공격이 발생하고 있으므로, 즉시 WS_FTP Server를 8.8.2 또는 8.7.4 이상으로 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2023-40044)은 Progress Software사의 WS_FTP Server 내 'Ad Hoc Transfer' 모듈에서 발생하는 심각한 .NET 역직렬화(Deserialization) 취약점입니다. IIS HTTP 모듈을 통해 구현된 해당 기능은 사용자로부터 전달받은 입력값을 검증 없이 역직렬화하는 과정(CWE-502)에서 발생합니다. 공격자는 신뢰할 수 없는 데이터를 .NET 역직렬화 파이프라인에 주입하여, 서버 측에서 임의의 객체가 인스턴스화되고 실행되도록 유도할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 사전 인증(Pre-authentication) 단계를 거치지 않고도 Ad Hoc Transfer 모듈의 엔드포인트에 접근할 수 있습니다. 익스플로잇 시나리오는 다음과 같습니다:

공격자는 ysoserial.net과 같은 도구를 사용하여 .NET 역직렬화 가젯 체인(예: ActivitySurrogateSelector 또는 TextFormattingRunProperties)을 포함하는 악성 페이로드를 생성합니다.
생성된 페이로드를 HTTP POST 요청의 특정 매개변수 또는 헤더에 담아 Ad Hoc Transfer 웹 인터페이스로 전송합니다.
WS_FTP Server의 백엔드 .NET 애플리케이션이 이 데이터를 역직렬화하는 순간, 공격자가 의도한 시스템 명령어가 IIS 작업자 프로세스(w3wp.exe)의 권한으로 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 8.8(High)을 기록하였으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, WS_FTP Server가 구동 중인 Windows 운영체제에 대한 완전한 제어권을 획득할 수 있습니다. 이는 내부 기밀 파일 탈취, 랜섬웨어 유포, Active Directory(AD) 내부망 침투를 위한 교두보 확보 등 기업 비즈니스에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

In WS_FTP Server versions prior to 8.7.4 and 8.8.2, a pre-authenticated attacker could leverage a .NET deserialization vulnerability in the Ad Hoc Transfer module to execute remote commands on the underlying WS_FTP Server operating system.

http://packetstormsecurity.com/files/174917/Progress-Software-WS_FTP-Unauthenticated-Remote-Code-Execution.html

출처: security@progress.com · Exploit, Third Party Advisory, VDB Entry

https://attackerkb.com/topics/bn32f9sNax/cve-2023-40044

출처: security@progress.com · Third Party Advisory

https://censys.com/cve-2023-40044/

출처: security@progress.com · Third Party Advisory

https://community.progress.com/s/article/WS-FTP-Server-Critical-Vulnerability-September-2023

출처: security@progress.com · Vendor Advisory

https://www.assetnote.io/resources/research/rce-in-progress-ws-ftp-ad-hoc-via-iis-http-modules-cve-2023-40044

출처: security@progress.com · Exploit, Third Party Advisory

https://www.progress.com/ws_ftp

출처: security@progress.com · Product

자주 묻는 실무 질문 (FAQ — CVE-2023-40044)

FAQ

Q1. CVE-2023-40044 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2023-40044의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 90.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2023-40044에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 progress이며, 대상 컴포넌트는 ws_ftp_server입니다. 상세 영향 범위: Progress WS_FTP Server 8.7.4 미만 버전 및 8.8.2 미만 버전 (Ad Hoc Transfer 모듈이 활성화된 환경)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 즉시 최신 패치 버전(8.7.4, 8.8.2 이상)으로 업그레이드하거나, Ad Hoc Transfer 모듈을 비활성화/삭제하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동