F5 BIG-IP TMUI 인증 우회 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2023-46747)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTF5 BIG-IP 시스템의 관리 포트(Management Port) 및 Self IP 주소를 통해 구성 유틸리티(TMUI)에 네트워크 접근이 가능한 환경
인증되지 않은 원격 공격자가 특수하게 조작된 요청을 전송하여 인증을 우회하고, 대상 시스템에서 루트(root) 권한으로 임의의 시스템 명령을 실행할 수 있습니다
F5 공식 보안 패치를 즉시 적용하거나, 패치 적용 전까지 외부 및 미인가 대역으로부터의 TMUI(포트 443) 접근을 차단하는 임시 완화 조치를 수행하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
F5 공식 권고에 따라 취약점이 해결된 최신 핫픽스(Hotfix) 또는 정식 버전으로 업그레이드를 수행해야 합니다. 아래 명령어를 통해 현재 버전을 확인하고 업데이트 패키지를 적용하십시오.
# BIG-IP 시스템 버전 및 등록된 핫픽스 정보 확인
tmsh show sys version
# 최신 ISO 이미지 업로드 후 볼륨 설치 (예: HD1.2 볼륨에 설치)
tmsh install sys software image BIGIP-17.1.1.1-0.0.2.iso volume HD1.2 create-volume
# 설치 상태 모니터링
watch tmsh show sys software status2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 불가능한 경우, 외부 및 신뢰하지 않는 대역에서 BIG-IP 관리 인터페이스(TMUI)로 접근하는 것을 원천 차단해야 합니다. Self IP를 통한 관리 콘솔 접근을 제한하려면 아래 명령어를 실행하십시오.
# Self IP에서의 관리 포트(Port Lockdown) 설정을 'Allow None' 또는 'Allow Default'로 변경
tmsh modify net self [Self-IP-Name] allow-service none
# 변경 사항 저장
tmsh save sys config3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
시스템 내부에 비정상적인 AJP 요청이나 TMUI 인증 우회 시도가 있었는지 웹 서버 로그를 분석하여 점검하십시오.
# Apache access 로그에서 TMUI 관련 비정상적인 POST 요청 및 AJP 밀수 흔적 조사
grep -E '/tmui/|/hsec/' /var/log/httpd/httpd_access.log | grep -i 'POST'
# 시스템 감사 로그에서 비정상적인 관리자 권한 획득 및 명령어 실행 이력 확인
grep -E 'auth|user|command' /var/log/audit | tail -n 50반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2023-46747)은 F5 BIG-IP의 웹 기반 관리 콘솔인 TMUI(Traffic Management User Interface)에서 발생하는 심각한 인증 우회 및 원격 코드 실행(RCE) 취약점입니다. 이 취약점은 Apache HTTP Server(프론트엔드 프록시)와 내부 Apache Tomcat(백엔드 애플리케이션 서버) 간의 통신에 사용되는 AJP(Apache JServ Protocol)의 요청 처리 로직 결함에서 비롯됩니다. 프론트엔드에서 적절히 검증되지 않은 HTTP 요청 헤더가 백엔드로 전달되는 과정에서 'AJP Smuggling(프로토콜 밀수)' 현상이 발생하며, 이를 통해 공격자는 인증 단계를 완전히 우회(CWE-288, CWE-306)할 수 있게 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 TMUI 관리 포트 또는 Self IP의 HTTPS 서비스(기본 TCP 443)로 특수하게 조작된 HTTP 요청을 전송합니다. 프론트엔드 웹 서버는 이 요청을 정상적인 트래픽으로 판단하여 내부 AJP 커넥터를 통해 Tomcat 백엔드로 포워딩합니다. 이때 공격자는 AJP 프로토콜의 특성을 악용하여 백엔드 서버가 해당 요청을 로컬호스트(localhost)에서 발생한 신뢰할 수 있는 내부 관리자 요청으로 오인하도록 유도합니다. 인증이 우회된 상태에서 공격자는 TMUI 내부의 관리자 API 엔드포인트에 접근할 수 있으며, 최종적으로 운영체제(OS) 레벨에서 루트 권한으로 임의의 시스템 명령을 실행(RCE)할 수 있는 익스플로잇 체인을 완성합니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 BIG-IP 장비의 제어권을 획득할 경우, 네트워크 트래픽의 복호화 및 가로채기, 내부 사설 네트워크로의 횡적 이동(Lateral Movement), 중요 자격 증명 탈취, 그리고 서비스 거부(DoS) 상태 유발 등 기업 인프라 전체를 마비시킬 수 있는 치명적인 비즈니스 중단 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
Undisclosed requests may bypass configuration utility authentication, allowing an attacker with network access to the BIG-IP system through the management port and/or self IP addresses to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
자주 묻는 실무 질문 (FAQ — CVE-2023-46747)
FAQQ1. CVE-2023-46747 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2023-46747의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2023-46747에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 f5이며, 대상 컴포넌트는 big-ip입니다. 상세 영향 범위: F5 BIG-IP 17.1.0 ~ 17.1.1, 16.1.0 ~ 16.1.4, 15.1.0 ~ 15.1.10, 14.1.0 ~ 14.1.5, 13.1.0 ~ 13.1.5 버전 (기술 지원이 종료된 구버전은 평가에서 제외되었으나 취약할 가능성이 매우 높음)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] F5 공식 보안 패치를 즉시 적용하거나, 패치 적용 전까지 외부 및 미인가 대역으로부터의 TMUI(포트 443) 접근을 차단하는 임시 완화 조치를 수행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2023-46747 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (f5)
동일 카테고리 전체 보기 →F5 BIG-IP APM OAuth 권한 부여 서버 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-94127)
[영향 대상] OAuth Authorization Server 프로필이 활성화된 F5 BIG-IP APM 가상 서버
Cisco Secure Firewall Management Center (FMC) 인증 우회 및 루트 권한 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-20079)
[영향 대상] Cisco Secure Firewall Management Center (FMC) 소프트웨어의 웹 기반 관리 인터페이스
TrueConf Server 미인증 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2026-72529)
[영향 대상] TrueConf Server 5.3.X ~ 5.3.9, 5.4.X ~ 5.4.9, 5.5.X ~ 5.5.5 및 이전 버전
Citrix NetScaler ADC 및 Gateway 인증 우회 및 원격 코드 실행 취약점 보안 권고 (CVE-2026-19490)
[영향 대상] NetScaler ADC 및 Gateway 14.1(73.32 미만) 및 13.1(63.21 미만) 버전
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.