CVE 데이터베이스CVE-2024-9463

최종 갱신 2026-06-17English Advisory →

CVE-2024-94637.5/HIGHCISA KEV 등재CWE-78CWE-78

Palo Alto Networks Expedition OS 명령 주입 취약점 (CVE-2024-9463) 보안 권고

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

paloaltonetworks

대상 컴포넌트 / 패키지

expedition

권고문 발행일

2024-10-09

CVSS v3.1

7.5

HIGH

30일 악용확률

98.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Palo Alto Networks Expedition 마이그레이션 툴 1.2.96 미만 버전

파급 효과

인증되지 않은 원격 공격자가 root 권한으로 임의 OS 명령을 실행하여 PAN-OS 방화벽의 사용자 이름, 평문 비밀번호, 장비 설정 및 API 키를 탈취할 수 있습니다

권장 조치

신속히 Expedition 버전을 1.2.96 이상으로 업데이트하고, 노출되었을 가능성이 있는 모든 방화벽 자격 증명 및 API 키를 즉시 교체하십시오

영향받는 제품 및 버전 범위

Palo Alto Networks Expedition 1.2.96 미만 버전 전체 (1.2.96 버전에서 패치 완료)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Expedition 서버에 SSH로 접속하여 패키지 저장소를 업데이트하고 최신 버전(1.2.96 이상)으로 업그레이드를 수행합니다.

bash

# Expedition 패키지 업데이트 및 업그레이드 실행
sudo apt-get update
sudo apt-get --only-upgrade install -y expedition

# 업그레이드 후 서비스 재시작 및 버전 확인
sudo systemctl restart apache2
dpkg -l | grep expedition

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, Expedition 웹 콘솔에 대한 네트워크 접근을 신뢰할 수 있는 관리자 IP 대역으로만 제한해야 합니다.

bash

# UFW 방화벽을 사용하여 특정 관리자 IP(예: 192.168.1.100) 외의 모든 80/443 포트 접근 차단
sudo ufw default deny incoming
sudo ufw allow from 192.168.1.100 to any port 80 proto tcp
sudo ufw allow from 192.168.1.100 to any port 443 proto tcp
sudo ufw enable

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

웹 서버 로그에서 비정상적인 명령 주입 시도 흔적을 탐지하고 현재 설치된 버전을 점검합니다.

bash

# Apache 액세스 로그에서 명령 주입 의심 패턴(sh, bash, curl, wget 등) 검색
sudo grep -Ei '(/bin/sh|/bin/bash|curl|wget|eval|system)' /var/log/apache2/access.log

# Expedition 데이터베이스 및 설정 파일 접근 이력 확인
sudo find /var/www/html/ -mtime -7 -type f

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

실제 공격에 악용되고 있는 취약점이므로, 즉시 Expedition을 1.2.96 이상으로 업데이트하고 연동된 PAN-OS 방화벽의 API 키와 패스워드를 전면 교체하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2024-9463)은 Palo Alto Networks의 방화벽 구성 마이그레이션 도구인 Expedition에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 시스템 내부에서 외부 입력값을 적절히 검증하거나 이스케이프 처리하지 않고 시스템 셸 명령의 인자로 직접 전달할 때 발생합니다 (CWE-78). 이로 인해 인증되지 않은 공격자가 웹 인터페이스를 통해 악의적인 페이로드를 주입하여 운영체제 수준의 명령을 실행할 수 있는 보안 결함이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Expedition 웹 애플리케이션의 특정 API 엔드포인트나 입력 폼을 대상으로 특수하게 조작된 HTTP 요청을 전송합니다. 이 요청에 셸 메타문자(예: ';', '&&', '|')와 함께 실행하고자 하는 OS 명령어를 포함시킵니다. Expedition 서비스가 root 권한 또는 그에 준하는 높은 권한으로 실행되고 있기 때문에, 주입된 명령은 시스템 내에서 root 권한으로 즉시 실행됩니다. 공격자는 이를 통해 로컬 데이터베이스에 저장된 PAN-OS 방화벽의 관리자 자격 증명, 평문 패스워드, 장비 구성 파일 및 API 키를 무단으로 조회하고 외부로 유출할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. EPSS 점수가 0.9855(98.55%)에 달할 정도로 공격 성공 가능성이 매우 높습니다. 성공적으로 익스플로잇될 경우, 기업 네트워크의 핵심 보안 장비인 PAN-OS 방화벽의 통제권이 완전히 탈취될 수 있으며, 이는 내부망 침투, 데이터 유출, 랜섬웨어 감염 등 기업 전체 인프라의 붕괴로 이어질 수 있는 치명적인 비즈니스 리스크를 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An OS command injection vulnerability in Palo Alto Networks Expedition allows an unauthenticated attacker to run arbitrary OS commands as root in Expedition, resulting in disclosure of usernames, cleartext passwords, device configurations, and device API keys of PAN-OS firewalls.

https://security.paloaltonetworks.com/PAN-SA-2024-0010

출처: psirt@paloaltonetworks.com · Mitigation, Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9463

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2024-9463)

FAQ

Q1. CVE-2024-9463 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2024-9463의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 98.6%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2024-9463에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 paloaltonetworks이며, 대상 컴포넌트는 expedition입니다. 상세 영향 범위: Palo Alto Networks Expedition 1.2.96 미만 버전 전체 (1.2.96 버전에서 패치 완료)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 신속히 Expedition 버전을 1.2.96 이상으로 업데이트하고, 노출되었을 가능성이 있는 모든 방화벽 자격 증명 및 API 키를 즉시 교체하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동