2024년 4월 공개된 CVE-2024-3400은 Palo Alto Networks의 PAN-OS(방화벽 운영체제)에 포함된 GlobalProtect 기능에서 발견된 취약점이다. CVSS 10.0(최고점)을 받았고, 공개 당시 이미 실제 공격(in-the-wild exploitation)에 악용되고 있던 것이 확인되면서 CISA가 즉시 대응 가이드를 낼 만큼 파급력이 컸다.
어떤 컴포넌트의 문제인가
GlobalProtect는 PAN-OS 방화벽이 원격 접속 VPN 게이트웨이 역할을 하도록 해주는 기능이다. 방화벽이라는 제품 특성상 인터넷에 직접 노출되어 있는 경우가 많고, 게다가 인증 없이도 접근 가능한 인터페이스에서 취약점이 발생했다는 점이 위험도를 극단적으로 높였다.
근본 원인
취약점은 두 가지 요소의 조합으로 만들어졌다.
- 임의 파일 생성 취약점: GlobalProtect의 특정 세션 처리 로직이 사용자가 통제 가능한 값을 파일 경로의 일부로 사용해서, 공격자가 원하는 이름의 파일을 시스템에 생성할 수 있었다.
- 커맨드 인젝션으로 연결되는 조건 경합: 파일명 자체에 공격자가 값을 주입할 수 있었고, PAN-OS 내부의 로그 처리/세션 관리 로직이 그 파일명을 셸 명령어의 일부처럼 처리하는 지점이 있었다. 특정 이름의 파일이 특정 시점에 만들어지면, 그걸 처리하는 백그라운드 프로세스가 파일명에 담긴 값을 명령어로 실행해버리는 구조였다.
즉 "파일을 아무 이름으로나 만들 수 있다"는 상대적으로 약해 보이는 취약점이, "그 파일명을 이후 신뢰할 수 없는 방식으로 처리하는 로직"과 만나서 인증 없는 원격 코드 실행(Unauthenticated RCE)으로 증폭된 사례다. 개별 취약점 하나는 낮은 위험도로 보일 수 있어도, 취약점들이 어떻게 연결되는지에 따라 최종 심각도가 완전히 달라진다는 걸 잘 보여준다.
영향받는 조건
- GlobalProtect 게이트웨이 또는 GlobalProtect 포털 기능이 활성화된 특정 PAN-OS 버전
- 텔레메트리(device telemetry) 기능이 활성화되어 있어야 조건이 성립하는 것으로 분석됨 — 이 조건 때문에 벤더의 임시 완화책(mitigation)이 "텔레메트리를 끄는 것"으로 먼저 나왔다
대응 타임라인이 주는 교훈
- 취약점이 공개적으로 알려지기 전부터 이미 정교한 공격 그룹이 이를 이용해 공격하고 있었다는 정황(제로데이 상태에서의 실공격)이 보안 업체에 의해 보고됨
- 벤더는 정식 패치가 나오기 전, 텔레메트리 비활성화라는 임시 완화책을 먼저 공지 — 패치가 나올 때까지 "일단 공격 경로를 줄이는" 임시 조치가 실무에서 얼마나 중요한지 보여주는 사례
- CISA가 KEV(Known Exploited Vulnerabilities) 카탈로그에 즉시 등재, 연방 기관에 긴급 패치 기한을 부여
방어자 관점에서 배울 점
- 네트워크 경계 장비(방화벽, VPN 게이트웨이) 자체가 최우선 공격 대상이라는 걸 잊으면 안 된다 — 방화벽이 뚫리면 그 뒤의 모든 방어가 무의미해진다
- CVSS 점수와 별개로, KEV(실제 악용 확인된 취약점) 목록에 오른 항목은 패치 우선순위를 최상단으로 올려야 한다
- 벤더의 임시 완화책(설정 변경만으로 가능한 조치)은 정식 패치를 기다리는 동안 리스크를 줄이는 데 실질적으로 유효하므로 놓치지 말아야 한다
- 이 CVE 관련 침해 지표(IoC)나 세션 파일 관련 이상 여부는 로그 모니터링 룰로 만들어 상시 탐지 체계에 반영하는 게 좋다