CVE 데이터베이스CVE-2024-21893

최종 갱신 2026-08-04English Advisory →

CVE-2024-218938.2/HIGHCISA KEV 등재CWE-918CWE-918

Ivanti Connect Secure 및 Policy Secure SAML 구성요소 SSRF 취약점 (CVE-2024-21893) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

ivanti

대상 컴포넌트 / 패키지

connect secure, policy secure, neurons for zta

권고문 발행일

2024-01-31

CVSS v3.1

8.2

HIGH

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Ivanti Connect Secure (9.x, 22.x), Ivanti Policy Secure (9.x, 22.x) 및 Ivanti Neurons for ZTA

파급 효과

인증되지 않은 원격 공격자가 SAML 구성요소의 취약점을 악용하여 내부망 제한된 리소스에 무단 접근 및 추가 공격 연계 가능

권장 조치

제조사 제공 공식 패치 적용 또는 완화 조치 XML 프로파일 즉시 적용

영향받는 제품 및 버전 범위

Ivanti Connect Secure (9.x, 22.x), Ivanti Policy Secure (9.x, 22.x), Ivanti Neurons for ZTA 전 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Ivanti 공식 지원 포털을 통해 장비의 펌웨어를 최신 보안 패치 버전으로 업그레이드하십시오. CLI 환경에서 아래 명령을 통해 현재 버전을 확인하고 업데이트를 수행합니다.

bash

# 현재 시스템 버전 및 패치 상태 확인
show version
show system info

# 최신 보안 패치 이미지 다운로드 및 설치 (관리자 권한 필요)
# 주의: 실제 운영 환경에서는 웹 관리 콘솔(GUI)의 'System -> Maintenance -> Upgrade' 메뉴 이용을 권장합니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 즉시 어려운 경우, Ivanti에서 제공하는 완화 조치 XML 파일(mitigation.release.20240126.5.xml)을 다운로드하여 장비에 임시 적용해야 합니다. 이 조치는 SAML 관련 취약한 엔드포인트로의 접근을 차단합니다.

bash

# XML 완화 프로파일 적용 후, 외부로부터의 불필요한 SAML 엔드포인트 접근을 방화벽 레벨에서 차단
# Nginx 또는 리버스 프록시를 사용하는 환경에서의 임시 차단 설정 예시
location ~* ^/api/v1/totp/user-backup/key {
    deny all;
    return 403;
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

장비 내부 로그에서 SSRF 공격 시도 및 비정상적인 SAML 요청 흔적을 탐지하기 위해 아래의 정규식 기반 로그 검색을 수행하십시오.

bash

# 웹 서버 액세스 로그에서 SAML 및 TOTP 관련 비정상 요청 패턴 검색
grep -E '/api/v1/totp/user-backup/key' /var/log/web_server_access.log

# 내부 루프백(127.0.0.1)으로 향하는 비정상적인 아웃바운드 커넥션 시도 확인
netstat -an | grep -E '127.0.0.1|localhost' | grep ESTABLISHED

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

본 취약점은 실제 공격에 적극적으로 악용되고 있으므로, 즉시 Ivanti 공식 완화 XML을 적용하거나 최신 패치 버전으로 업그레이드하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2024-21893)은 Ivanti Connect Secure, Policy Secure 및 Neurons for ZTA의 SAML(Security Assertion Markup Language) 인증 처리 구성요소에서 발생하는 서버 측 요청 위조(SSRF, Server-Side Request Forgery) 취약점입니다. SAML XML 파싱 과정에서 외부 엔티티 및 엔드포인트 검증이 미흡하여 발생하며, 공격자는 이를 통해 내부 루프백 인터페이스나 보호된 내부 네트워크 리소스로 임의의 HTTP 요청을 전송할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 인증을 거치지 않은 상태에서 SAML 인증 엔드포인트(/api/v1/totp/user-backup/key 또는 SAML SOAP 웹서비스 인터페이스)로 조작된 XML 요청을 전송합니다. 이 요청 내부의 Signature 또는 KeyInfo 요소 내에 공격자가 제어하는 외부 URL 또는 내부 루프백 주소(http://127.0.0.1:8000/...)를 삽입합니다. 취약한 SAML 파서가 이를 처리하는 과정에서 내부 API 서버로 요청을 위조하여 전달하게 되며, 공격자는 이를 통해 인증 없이 내부 관리자 전용 API를 호출하거나 다른 로컬 취약점(예: 명령 주입)과 연계하여 원격 코드 실행(RCE)으로 전이할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용되고 있는 고위험군 취약점입니다. VPN 장비는 기업 내부망으로 진입하는 관문이므로, 이 취약점이 노출될 경우 내부 기밀 데이터 유출, 세션 탈취, 내부망 횡적 이동(Lateral Movement) 및 랜섬웨어 유포 등 기업 비즈니스 전체를 마비시킬 수 있는 치명적인 결과를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

A server-side request forgery vulnerability in the SAML component of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x) and Ivanti Neurons for ZTA allows an attacker to access certain restricted resources without authentication.

https://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure?language=en_US

출처: support@hackerone.com · Vendor Advisory

https://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure?language=en_US

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-21893

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2024-21893)

FAQ

Q1. CVE-2024-21893 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2024-21893의 기본 점수는 CVSS 8.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2024-21893에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 ivanti이며, 대상 컴포넌트는 connect secure, policy secure, neurons for zta입니다. 상세 영향 범위: Ivanti Connect Secure (9.x, 22.x), Ivanti Policy Secure (9.x, 22.x), Ivanti Neurons for ZTA 전 버전