VMware vCenter Server DCERPC 프로토콜 힙 오버플로우 원격 코드 실행(RCE) 취약점 (CVE-2024-38812) 긴급 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTVMware vCenter Server 7.0 및 8.0 계열, VMware Cloud Foundation 4.x 및 5.x 계열
인증되지 않은 원격 공격자가 네트워크를 통해 특수하게 제작된 DCERPC 패킷을 전송하여 대상 시스템에서 루트(root) 권한으로 원격 코드를 실행할 수 있습니다
Broadcom 공식 보안 패치(vCenter 8.0 U3b / 7.0 U3s 이상)를 즉시 적용하고, 패치 적용 전까지 vCenter 관리 포트(TCP 135, 2012 등)에 대한 외부 접근을 차단하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Broadcom 공식 권고에 따라 vCenter Server를 최신 패치 버전(8.0 U3b 이상 또는 7.0 U3s 이상)으로 업그레이드해야 합니다. vCenter Server Appliance(VCSA) CLI를 통한 패치 적용 방법은 다음과 같습니다.
# vCenter Appliance Shell에 접속 후 패치 리포지토리 동기화 및 설치 진행
software-packages install --iso --acceptEulas
# 또는 온라인 업데이트 리포지토리를 통한 직접 패치 설치
software-packages install --url --acceptEulas
# 패치 완료 후 vCenter 서비스 상태 및 버전 확인
service-control --status
cat /etc/vmware/version2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치 적용이 어려운 경우, 방화벽(Firewall)을 사용하여 vCenter Server의 DCERPC 관련 포트 및 관리 인터페이스에 대한 접근을 신뢰할 수 있는 관리자 IP 대역으로만 엄격히 제한해야 합니다. Photon OS 내장 iptables를 이용한 차단 예시는 다음과 같습니다.
# 신뢰할 수 있는 관리자 IP(예: 192.168.10.0/24) 외의 모든 대역에서 vCenter DCERPC 포트(TCP 135) 접근 차단
iptables -A INPUT -p tcp -s 192.168.10.0/24 --dport 135 -j ACCEPT
iptables -A INPUT -p tcp --dport 135 -j DROP
# 설정 저장 (Photon OS 기준)
/sbin/iptables-save > /etc/systemd/scripts/ip4save3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
vCenter Server 내부에서 비정상적인 DCERPC 요청이나 서비스 크래시 로그를 점검하는 스크립트입니다.
# vCenter RPC 서비스(vmware-vmdir 등)의 비정상 종료 및 코어 덤프 발생 여부 확인
ls -la /var/core/
grep -Ei 'segfault|general protection|core dumped' /var/log/messages
# vmdird 로그에서 비정상적인 연결 시도 및 에러 패턴 검색
grep -Ei 'fail|error|invalid packet' /var/log/vmware/vmdir/vmdird-syslog.log반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2024-38812)은 VMware vCenter Server의 DCERPC(Distributed Computing Environment / Remote Procedure Call) 프로토콜 구현부에서 발생하는 심각한 힙 기반 버퍼 오버플로우(Heap-based Buffer Overflow, CWE-122) 취약점입니다. vCenter Server가 수신된 DCERPC 네트워크 패킷의 페이로드 크기를 검증하는 과정에서 적절한 경계값 검사(Boundary Check)를 수행하지 않아 발생합니다. 이로 인해 공격자가 조작한 크기의 데이터를 전송할 경우, 할당된 힙 메모리 영역을 초과하여 인접한 메모리 블록을 덮어쓰는 메모리 오염(Memory Corruption)이 발생합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 vCenter Server에 대한 네트워크 접근 권한(기본적으로 TCP 포트 135 및 동적 RPC 포트 대역)만 확보하면 어떠한 사용자 인증(Authentication)이나 상호작용(User Interaction) 없이도 공격을 수행할 수 있습니다. 공격자는 DCERPC 프로토콜의 단편화(Fragmentation) 또는 바인딩(Bind) 요청 패킷을 정밀하게 설계하여 힙 영역에 오버플로우를 유발합니다. 이 과정에서 함수 포인터(Function Pointer)나 실행 흐름 제어 구조체를 덮어씀으로써, 최종적으로 vCenter 운영체제(Photon OS) 내에서 가장 높은 권한인 'root' 권한으로 임의의 시스템 명령어를 실행(RCE)할 수 있게 됩니다.
3. 비즈니스 및 인프라 파급 영향
vCenter Server는 가상화 인프라(ESXi 호스트, 가상 머신, 스토리지 및 네트워크 리소스)를 중앙에서 관리하는 핵심 컨트롤 플레인(Control Plane)입니다. 본 취약점이 성공적으로 익스플로잇될 경우, 공격자는 vCenter 제어권을 완전히 장악하여 전체 가상화 환경 내의 모든 VM에 접근하고, 데이터를 탈취하거나 랜섬웨어를 유포할 수 있습니다. 특히 본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 활발히 악용되고 있으므로, 비즈니스 연속성에 치명적인 위협을 초래합니다.
공식 보안 권고문 및 참조 링크
The vCenter Server contains a heap-overflow vulnerability in the implementation of the DCERPC protocol. A malicious actor with network access to vCenter Server may trigger this vulnerability by sending a specially crafted network packet potentially leading to remote code execution.
자주 묻는 실무 질문 (FAQ — CVE-2024-38812)
FAQQ1. CVE-2024-38812 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2024-38812의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 54.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2024-38812에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 vmware, broadcom이며, 대상 컴포넌트는 vcenter_server, cloud_foundation입니다. 상세 영향 범위: VMware vCenter Server 8.0 (8.0 U3b 미만 버전), vCenter Server 7.0 (7.0 U3s 미만 버전), VMware Cloud Foundation 5.x 및 4.x
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Broadcom 공식 보안 패치(vCenter 8.0 U3b / 7.0 U3s 이상)를 즉시 적용하고, 패치 적용 전까지 vCenter 관리 포트(TCP 135, 2012 등)에 대한 외부 접근을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2024-38812 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (vmware)
동일 카테고리 전체 보기 →VMware vCenter Server Syslog 서비스 디렉터리 경로 조작 기반 원격 코드 실행 취약점 (CVE-2026-59310)
[영향 대상] VMware vCenter Server의 내장 Syslog 서버 서비스를 사용하는 시스템.
VeloCloud Orchestrator(VCO) 온프레미스 권한 상승 및 내부 기능 접근 취약점 (CVE-2026-114625) 보안 권고
[영향 대상] VeloCloud Orchestrator (VCO) 온프레미스(On-premise) 설치형 버전
VMware ESX 로그 기록 미흡 취약점 (CVE-2026-41709) - 관리자 행위 은폐 및 감사 우회 위험
[영향 대상] VMware ESX 하이퍼바이저 환경
Arista VeloCloud Orchestrator (VCO) 온프레미스 원격 코드 실행 및 권한 우회 취약점 (CVE-2026-16812)
[영향 대상] 온프레미스(On-Premises) 환경에서 운영되는 VeloCloud Orchestrator (VCO) 전체 버전
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.