[CVE] CVE-2026-87689 (CVSS 9.8 · 치명적) [CWE-306]

핵심 요약

Metasploit Framework 웹 서비스 REST API(msf-ws)에서 인증 우회 취약점(CVE-2026-87689, CVSS 9.8)이 발견되어, 인증 없이 저장된 자격 증명(암호, 해시, 개인 키)을 읽고, 수정하거나 삭제할 수 있는 심각한 보안 문제가 발생했습니다. 이 취약점은 `update_credential` (PUT) 및 `delete_credentials` (DELETE) 핸들러가 `warden.authenticate!` 호출을 생략하고 권한 부여 검사 없이 `lib/msf/core/db_manager/cred.rb`를 직접 호출하기 때문에 발생하며, 이는 OWASP Top 10의 A07:2021 – 인증 및 식별 실패(Identification and Authentication Failures)에 해당합니다. 공격자는 이 취약점을 악용하여 시스템에 저장된 민감한 자격 증명을 탈취하거나 변조할 수 있습니다. IT 감사인은 Metasploit Framework를 포함한 모든 내부 시스템 및 보안 도구의 API 서비스에 대한 인증 및 권한 부여 통제 현황을 즉시 점검하고, 최신 보안 패치 적용 여부를 확인하여 무단 접근으로 인한 데이터 유출 및 시스템 침해 리스크를 최소화해야 합니다.

개선 권고안

• ✔기술적 조치Metasploit Framework 웹 서비스(msf-ws)를 사용하는 경우, 즉시 6.5.5 버전 이상으로 업데이트를 적용해야 함을 권고함.
• ✔기술적 조치Metasploit Framework 웹 서비스(msf-ws)가 불필요하게 외부에 노출되지 않도록 방화벽, 네트워크 ACL 등을 통해 접근을 엄격히 통제하고, 내부에서도 최소 권한 원칙에 따라 접근 가능한 IP 주소 및 포트를 제한할 것을 권고함.
• ✔관리적 조치모든 내부 시스템 및 보안 도구에 대해 정기적인 취약점 점검 및 보안 패치 관리 프로세스를 수립하고 시행할 것을 권고함.
• ✔관리적 조치Metasploit Framework와 같이 민감한 정보를 다루는 보안 도구의 경우, 해당 도구의 설정 및 운영에 대한 보안 가이드라인을 수립하고, 관련 담당자에게 보안 교육을 강화할 것을 권고함.
• ✔관리적 조치Metasploit Framework 웹 서비스(msf-ws)의 접근 로그 및 자격 증명 관련 활동 로그를 SIEM 등 중앙 집중식 로그 관리 시스템과 연동하여 실시간 모니터링 및 비정상 행위 탐지 체계를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기