CVE 데이터베이스CVE-2024-43468

최종 갱신 2026-06-17English Advisory →

CVE-2024-434689.8/CRITICALCISA KEV 등재CWE-89

Microsoft Configuration Manager 원격 코드 실행 취약점 (CVE-2024-43468) 보안 권고 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

configuration manager

권고문 발행일

2024-10-08

CVSS v3.1

9.8

CRITICAL

30일 악용확률

81.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Microsoft Configuration Manager (구 SCCM) 지원 대상 전체 버전

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 요청을 전송하여 대상 서버 및 백엔드 데이터베이스에서 임의의 명령을 실행하고 시스템을 완전히 장악할 수 있습니다

권장 조치

Microsoft 공식 보안 업데이트 가이드를 참조하여 최신 누적 업데이트(KB)를 즉시 적용하고, 데이터베이스 접근 제어를 강화하십시오

영향받는 제품 및 버전 범위

Microsoft Configuration Manager 2111, 2203, 2207, 2211, 2303, 2309, 2403 등 지원 대상 버전 전체 (세부 빌드 및 핫픽스 적용 여부에 따라 다름)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft Configuration Manager 콘솔의 '업데이트 및 서비스(Updates and Servicing)' 노드를 통해 최신 누적 업데이트 및 핫픽스를 즉시 설치하십시오.

powershell

# Configuration Manager 업데이트 상태 및 사용 가능한 패치 확인 스크립트
Import-Module (Join-Path $env:SMS_ADMIN_UI_PATH '..\ConfigurationManager.psd1')
$SiteCode = (Get-CMSite).SiteCode
Set-Location "${SiteCode}:"

# 사용 가능한 업데이트 목록 조회
Get-CMUpdatePack | Select-Object PackageGuid, Name, State, Severity | Format-Table -AutoSize

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용 전까지 외부 및 신뢰할 수 없는 네트워크로부터 Configuration Manager 사이트 시스템 및 SQL Server(기본 포트 TCP 1433)로의 접근을 방화벽에서 엄격히 차단하십시오.

bash

# Windows 방화벽을 사용하여 비인가 대역의 SQL Server 포트(1433) 접근 차단 규칙 추가
New-NetFirewallRule -DisplayName 'Block Unauthorized SQL Access' -Direction Inbound -LocalPort 1433 -Protocol TCP -Action Block -RemoteAddress 'Any'
# 신뢰할 수 있는 관리 대역(예: 10.0.0.0/8)만 허용하는 규칙 추가
New-NetFirewallRule -DisplayName 'Allow Trusted Admin SQL Access' -Direction Inbound -LocalPort 1433 -Protocol TCP -Action Allow -RemoteAddress '10.0.0.0/8'

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

SQL Server 오류 로그 및 Configuration Manager 로그(SMS_SQL_PROVIDER.log)에서 비정상적인 SQL 인젝션 시도 및 xp_cmdshell 실행 흔적을 점검하십시오.

powershell

# SQL Server 오류 로그에서 xp_cmdshell 실행 및 비정상적인 확장 프로시저 호출 흔적 검색
$SqlLogPath = 'C:\Program Files\Microsoft SQL Server\MSSQL*\MSSQL\Log\ERRORLOG'
Get-ChildItem $SqlLogPath | Get-Content | Select-String -Pattern 'xp_cmdshell', 'sp_OACreate', 'EXECUTE' | Select-Object -First 50

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

본 취약점은 실제 공격에 악용되고 있으므로, 즉시 Microsoft 공식 업데이트 가이드를 참조하여 최신 보안 패치를 적용하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2024-43468)은 Microsoft Configuration Manager(구 SCCM)에서 발생하는 심각도 'Critical'(CVSS 9.8)의 원격 코드 실행(RCE) 취약점입니다. 이 취약점의 근본 원인은 입력값 검증 미흡으로 인한 SQL 인젝션(CWE-89) 취약점에 기인합니다. Configuration Manager가 클라이언트 또는 외부 요청으로부터 전달받는 특정 매개변수를 안전하게 필터링하지 않고 백엔드 데이터베이스 쿼리에 직접 결합하여 실행함으로써 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

인증되지 않은 원격의 공격자는 Configuration Manager의 공개된 엔드포인트로 악의적인 SQL 구문이 포함된 특수 제작된 패킷을 전송합니다. 이 요청은 방화벽을 통과하여 내부 데이터베이스 엔진에서 실행되며, 공격자는 SQL Server의 확장 저장 프로시저(예: xp_cmdshell) 또는 이와 유사한 데이터베이스 기능을 악용하여 기본 운영체제(OS) 수준에서 임의의 명령을 실행할 수 있게 됩니다. 이 과정에서 어떠한 사용자 상호작용(UI)이나 사전 인증도 요구되지 않으므로 공격 난이도가 매우 낮습니다.

3. 비즈니스 및 인프라 파급 영향

Microsoft Configuration Manager는 기업 내 수많은 엔드포인트와 서버의 패치 관리, 소프트웨어 배포, 자산 관리를 담당하는 핵심 인프라 통제 시스템입니다. 본 취약점이 악용될 경우, 공격자는 인프라의 최상위 권한을 획득하여 내부망 전체로 횡적 이동(Lateral Movement)을 수행할 수 있습니다. 이는 랜섬웨어 유포, 기밀 정보 탈취, Active Directory 도메인 장악 등 기업 비즈니스에 치명적인 마비 사태를 초래할 수 있으며, 현재 실제 공격에 악용되고 있는(CISA KEV 등재) 활성 위협입니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Microsoft Configuration Manager Remote Code Execution Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43468

출처: secure@microsoft.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-43468

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2024-43468)

FAQ

Q1. CVE-2024-43468 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2024-43468의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 81.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2024-43468에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 configuration manager입니다. 상세 영향 범위: Microsoft Configuration Manager 2111, 2203, 2207, 2211, 2303, 2309, 2403 등 지원 대상 버전 전체 (세부 빌드 및 핫픽스 적용 여부에 따라 다름)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 보안 업데이트 가이드를 참조하여 최신 누적 업데이트(KB)를 즉시 적용하고, 데이터베이스 접근 제어를 강화하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동