CVE 데이터베이스CVE-2024-37085

최종 갱신 2026-06-17English Advisory →

CVE-2024-370857.2/HIGHCISA KEV 등재CWE-287CWE-305

VMware ESXi Active Directory 도메인 가입 환경 인증 우회 및 권한 상승 취약점 (CVE-2024-37085)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

vmware, broadcom

대상 컴포넌트 / 패키지

esxi, vsphere

권고문 발행일

2024-06-25

CVSS v3.1

7.2

HIGH

30일 악용확률

26.8%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Active Directory(AD) 통합 인증을 사용하도록 구성된 VMware ESXi 호스트.

파급 효과

AD 내에서 삭제된 특정 관리자 그룹('ESXi Admins')을 재생성할 권한이 있는 공격자가 ESXi 호스트에 대한 완전한 관리자 권한(Full Access)을 획득할 수 있음.

권장 조치

Broadcom 공식 보안 패치를 적용하거나, ESXi 호스트의 AD 통합 설정을 비활성화하고 로컬 계정 관리 체계로 전환할 것을 권장함.

영향받는 제품 및 버전 범위

Active Directory 도메인 가입 및 사용자 관리 기능이 활성화된 VMware ESXi 모든 지원 버전 (패치 미적용 상태)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Broadcom 공식 권고에 따라 ESXi 호스트를 최신 패치 버전으로 업데이트하십시오. ESXi CLI를 통해 온라인으로 직접 패치를 적용하는 방법은 다음과 같습니다.

bash

# ESXi 호스트의 유지보수 모드 진입
esxcli system maintenanceMode set --enable true

# 방화벽 규칙 허용 (아웃바운드 HTTP/HTTPS)
esxcli network firewall ruleset set -e true -r httpClient

# 최신 보안 패치 프로필 확인 및 업데이트 적용 (ESXi 8.0 등 해당 버전 지정)
esxcli software profile update -p ESXi-8.0U3-24026615-standard -d https://hostupdates.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml

# 호스트 재부팅 및 유지보수 모드 해제
reboot
# (재부팅 후) esxcli system maintenanceMode set --enable false

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, ESXi 호스트의 고급 설정에서 AD 그룹 기반 관리자 권한 부여 기능을 비활성화하거나 기본 그룹 이름을 임의의 임시 값으로 변경하여 공격을 방어할 수 있습니다.

bash

# ESXi Admins 기본 그룹 이름을 존재하지 않는 임의의 이름으로 변경하여 매핑 차단
esxcli system settings advanced set -o /UserVars/EsxAdminsGroup -s 'DisabledAdminGroup_NoOneUseThis'

# 설정이 정상적으로 반영되었는지 확인
esxcli system settings advanced list -o /UserVars/EsxAdminsGroup

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

AD 내에 'ESXi Admins' 그룹이 비정상적으로 생성되었는지 확인하는 PowerShell 스크립트 및 ESXi 호스트의 AD 가입 상태 점검 명령어입니다.

powershell

# Active Directory 내 ESXi Admins 그룹의 생성 날짜 및 SID 변경 이력 확인
Get-ADGroup -Identity 'ESXi Admins' -Properties WhenCreated, SID | Select-Object Name, WhenCreated, SID

# 최근 AD 그룹 생성 로그(이벤트 ID 4727) 중 ESXi Admins 관련 로그 필터링
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4727} | Where-Object {$_.Message -like '*ESXi Admins*'} | Format-List

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Datadog Cloud & Kubernetes Security

실제 공격에 악용되고 있는 취약점이므로, 즉시 ESXi 호스트의 EsxAdminsGroup 설정을 변경하거나 최신 보안 패치를 적용하십시오.

실행 중인 Docker 컨테이너와 Kubernetes 클러스터의 컨테이너 탈출 및 권한 상승을 실시간 감시하세요

이미지 빌드 시점뿐 아니라 실제 운영 중인 클러스터 내부의 eBPF 기반 커널 이벤트와 잘못된 IAM/RBAC 구성을 실시간으로 감사하고 경보를 받으세요.

K8s/Docker 이미지 실시간 CVE 매핑 지원

14일 무료 클라우드 보안 감사 시작하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2024-37085)은 VMware ESXi 호스트가 Active Directory(AD)와 연동되어 사용자 인증 및 권한 관리를 수행할 때 발생하는 인증 우회(Authentication Bypass) 및 권한 상승 취약점입니다. ESXi는 AD 도메인에 가입될 때 기본적으로 'ESXi Admins'라는 이름의 AD 그룹 구성원에게 호스트에 대한 최상위 관리자 권한을 자동으로 부여하도록 설계되어 있습니다. 그러나 AD 상에서 해당 그룹이 삭제된 후, 적절한 권한을 가진 악의적인 행위자가 동일한 이름의 그룹을 재생성할 경우 ESXi 호스트가 이를 검증 없이 신뢰하여 권한을 재부여하는 설계 결함이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격 시나리오는 다음과 같이 진행됩니다. AD 도메인 내에서 그룹 생성 권한을 가진 공격자(또는 권한이 탈취된 계정)는 기존에 삭제되었거나 존재하지 않는 'ESXi Admins' 그룹을 AD 상에 새로 생성합니다. ESXi 호스트는 AD 도메인 컨트롤러와 동기화할 때, 해당 그룹의 SID(보안 식별자) 변경 여부나 신뢰성 검증을 엄격하게 수행하지 않고 오직 그룹 이름('ESXi Admins')만을 기준으로 관리자 권한을 매핑합니다. 이로 인해 공격자는 새로 생성된 그룹에 자신 또는 임의의 계정을 추가하는 것만으로 ESXi 호스트에 대한 완전한 루트(Root) 수준의 제어권을 획득하게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.2(High)로 평가되었으며, CISA의 KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 적극적으로 악용되고 있음이 확인되었습니다. 공격자가 ESXi 호스트의 제어권을 장악할 경우, 해당 호스트에서 구동 중인 모든 가상 머신(VM)의 데이터 탈취, 가상 네트워크 변조, 랜섬웨어 배포를 통한 인프라 마비 등 기업 비즈니스 연속성에 치명적인 피해를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

VMware ESXi contains an authentication bypass vulnerability. A malicious actor with sufficient Active Directory (AD) permissions can gain full access to an ESXi host that was previously configured to use AD for user management https://blogs.vmware.com/vsphere/2012/09/joining-vsphere-hosts-to-active-directory.html by re-creating the configured AD group ('ESXi Admins' by default) after it was deleted from AD.

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24505

출처: security@vmware.com · Patch, Vendor Advisory

https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24505

출처: af854a3a-2127-422b-91ae-364da2661108 · Patch, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-37085

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2024-37085)

FAQ

Q1. CVE-2024-37085 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2024-37085의 기본 점수는 CVSS 7.2 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 26.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2024-37085에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 vmware, broadcom이며, 대상 컴포넌트는 esxi, vsphere입니다. 상세 영향 범위: Active Directory 도메인 가입 및 사용자 관리 기능이 활성화된 VMware ESXi 모든 지원 버전 (패치 미적용 상태)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Broadcom 공식 보안 패치를 적용하거나, ESXi 호스트의 AD 통합 설정을 비활성화하고 로컬 계정 관리 체계로 전환할 것을 권장함. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동