F5 BIG-IP Configuration Utility 인증된 SQL 인젝션 및 원격 코드 실행(RCE) 취약점 (CVE-2023-46748) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTF5 BIG-IP Configuration Utility (관리 포트 및 Self IP를 통해 웹 관리 콘솔에 접근 가능한 환경)
인증된 공격자가 SQL 인젝션을 악용하여 데이터베이스를 조작하고, 최종적으로 기본 운영체제에서 루트 권한으로 임의의 시스템 명령을 실행할 수 있습니다
F5 공식 보안 패치를 즉시 적용하고, 관리 인터페이스(TMUI)에 대한 외부 접근을 차단하는 방화벽 및 ACL 설정을 강화하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
F5 공식 권고에 따라 사용 중인 BIG-IP 버전에 맞는 핫픽스(Hotfix) 또는 최신 엔지니어링 핫픽스를 다운로드하여 설치하십시오. CLI 환경에서 시스템을 업데이트하는 예시 명령어는 다음과 같습니다:
# F5 BIG-IP 소프트웨어 이미지 업그레이드 및 볼륨 설치 예시
im /shared/images/BIGIP-17.1.1.1-0.0.2.iso
# 특정 볼륨(예: HD1.2)에 설치 진행
install sys software image BIGIP-17.1.1.1-0.0.2.iso volume HD1.2
# 설치 상태 확인
watch show sys software status2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
패치 적용이 즉시 불가능한 경우, 외부 및 Self IP를 통한 Configuration Utility(TMUI) 접근을 원천 차단하고 신뢰할 수 있는 관리용 서브넷(OOB)에서만 접근할 수 있도록 ACL을 설정해야 합니다.
# Self IP를 통한 TMUI(포트 443) 접근 제한 설정
tmsh modify net self-allow defaults delete { tcp:443 }
tmsh modify net self-allow defaults add { tcp:80 tcp:22 }
tmsh save sys config
# httpd 관리 포트 허용 IP 대역 제한 (예: 192.168.10.0/24 대역만 허용)
tmsh modify sys httpd allow replace { 192.168.10.0/24 }
tmsh save sys config3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
웹 서버 로그(/var/log/httpd/httpd_errors) 및 감사 로그(/var/log/audit)에서 비정상적인 SQL 구문이나 관리자 권한 상승 시도가 있었는지 점검하십시오.
# httpd 에러 로그에서 SQL 인젝션 및 비정상 요청 흔적 검색
grep -Ei 'union|select|insert|update|delete|script' /var/log/httpd/httpd_errors
# audit 로그에서 비정상적인 시스템 명령 실행 이력 확인
grep -i 'run' /var/log/audit | grep -Ei 'sh|bash|python|perl'반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2023-46748)은 F5 BIG-IP의 웹 기반 관리 콘솔인 Configuration Utility(통칭 TMUI)에서 발생하는 SQL 인젝션(SQLi) 취약점입니다. 입력값 검증 미흡으로 인해 발생하며, 공격자가 조작된 SQL 질의를 주입할 수 있는 취약한 엔드포인트가 존재합니다. 비록 인증된 사용자를 대상으로 하지만, 낮은 권한을 가진 계정으로도 데이터베이스 제어권을 획득할 수 있어 심각도가 매우 높습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 먼저 BIG-IP Configuration Utility에 로그인한 후, SQL 쿼리 매개변수가 적절히 필터링되지 않는 특정 API 엔드포인트로 악의적인 페이로드를 전송합니다. 이 과정에서 SQL 인젝션을 통해 내부 데이터베이스를 조작할 수 있으며, BIG-IP 아키텍처 특성상 데이터베이스 내 특정 트리거 또는 사용자 정의 함수(UDF)를 실행하여 기본 Linux 운영체제(OS)의 쉘 명령어로 연결할 수 있습니다. 특히 이 취약점은 다른 인증 우회 취약점(예: CVE-2023-46747)과 연쇄적으로 결합되어 무인증 원격 코드 실행(RCE)으로 이어지는 공격 체인에 악용된 사례가 보고되었습니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 등재될 만큼 실제 야생에서 적극적으로 악용되고 있는 고위험군 취약점입니다. 공격자가 BIG-IP 장비의 제어권을 획득할 경우, 네트워크 트래픽 복호화, SSL 인증서 및 API 키 탈취, 내부망 침투를 위한 피벗 포인트(Pivot Point) 활용 등 기업 인프라 전체를 마비시킬 수 있는 치명적인 비즈니스 중단 사고로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
An authenticated SQL injection vulnerability exists in the BIG-IP Configuration utility which may allow an authenticated attacker with network access to the Configuration utility through the BIG-IP management port and/or self IP addresses to execute arbitrary system commands. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
자주 묻는 실무 질문 (FAQ — CVE-2023-46748)
FAQQ1. CVE-2023-46748 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2023-46748의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 4.3%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2023-46748에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 f5이며, 대상 컴포넌트는 big-ip입니다. 상세 영향 범위: F5 BIG-IP 17.1.0 - 17.1.1, 16.1.0 - 16.1.4, 15.1.0 - 15.1.10, 14.1.0 - 14.1.5, 13.1.0 - 13.1.5 (기술 지원이 종료된 EoTS 버전은 평가에서 제외됨)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] F5 공식 보안 패치를 즉시 적용하고, 관리 인터페이스(TMUI)에 대한 외부 접근을 차단하는 방화벽 및 ACL 설정을 강화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2023-46748 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (f5)
동일 카테고리 전체 보기 →F5 BIG-IP APM OAuth 권한 부여 서버 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-94127)
[영향 대상] OAuth Authorization Server 프로필이 활성화된 F5 BIG-IP APM 가상 서버
VeloCloud Orchestrator(VCO) 온프레미스 권한 상승 및 내부 기능 접근 취약점 (CVE-2026-114625) 보안 권고
[영향 대상] VeloCloud Orchestrator (VCO) 온프레미스(On-premise) 설치형 버전
Cisco Secure Email Gateway (AsyncOS) SQL 인젝션 기반 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-76461)
[영향 대상] Cisco AsyncOS 소프트웨어가 구동되는 Cisco Secure Email Gateway 전 제품군
Sangoma Switchvox SMB Edition 미인증 원격 코드 실행(RCE) 및 SQL 인젝션 취약점 긴급 보안 권고 (CVE-2026-9586)
[영향 대상] Sangoma Switchvox SMB Edition 8.3 (빌드 104997) 및 이전 버전
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.