CVE-2025-64446 PoC: AI 보안 엔지니어를 위한 심층 분석

요약: CVE-2025-64446이 모든 것을 멈추게 하는 취약점인 이유

CVE-2025-64446은 2025년 11월 14일에 공개된 포티넷 포티웹의 중요한 취약점입니다. 포티넷은 이를 상대 경로 탐색 하지만 실제 결과는 더 심각합니다. 인증되지 않은 원격 공격자가 다음을 수행할 수 있습니다. 관리 명령 실행를 실행하여 FortiWeb Manager를 제어하고 WebSocket CLI에 액세스하여 사실상 전체 어플라이언스 인수를 수행합니다. NVD는 중요한 9.x CVSS 벡터(AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H)를 할당합니다. 간단히 말해서, 인터넷에서 FortiWeb 관리 인터페이스에 접속할 수 있고 취약한 빌드를 사용 중인 경우, 이는 사전 인증 RCE급 인시던트가 발생할 수 있다는 뜻입니다. NVD+2포르티가드+2

이는 가설이 아닙니다. 포티넷과 여러 위협 인텔리전스 공급업체는 다음과 같이 확인했습니다. 야생에서의 활발한 착취그리고 CISA는 24시간 이내에 알려진 익스플로잇 취약점(KEV) 카탈로그에 CVE-2025-64446을 추가했습니다. 이 조합(인증 전 영향 + KEV 목록)은 지난 몇 년 동안 가장 위험한 에지 디바이스 제로데이와 동일한 운영 버킷에 속하게 됩니다. CISA+2CISA+2

SEO/관심도 관점에서 볼 때, 최상위 커버리지에서 이 CVE에 대해 가장 많이 동시 발생하는 문구는 일관되게 다음과 같습니다. "FortiWeb 제로 데이", "야생에서 악용", "경로 통과 RCE", "인증 우회". 실제 구매자의 의도를 파악할 수 있기 때문에 이러한 질문이 반복됩니다: "내가 노출되어 있고 이미 타겟팅되고 있지는 않은가?" 그린본+3래피드7+3테너블®+3 (SERP 제목 밀도에 기반한 추론)

포티웹 버그가 전방위적 재난이 되는 이유

FortiWeb은 웹 인프라의 가장자리, 일반적으로 DMZ에 위치하거나 비즈니스 크리티컬 앱 앞에서 리버스 프록시 역할을 하는 WAF/WAAP 어플라이언스입니다. 이러한 배치로 인해 관리 영역에서 발생하는 모든 침해의 가치가 크게 떨어집니다. 공격자가 FortiWeb을 소유하게 되면 새로운 관리자 계정을 통해 지속하거나, WAF 정책을 변경하여 보호된 애플리케이션 스택으로 조용히 '오픈 레인'을 만들거나, 어플라이언스를 활용도가 높은 피벗 포인트로 사용할 수 있습니다. CVE-2025-64446에 대한 여러 사고 분석에 따르면 공격자의 첫 번째 목표는 종종 다음과 같습니다. 로컬 FortiWeb 관리자 만들기를 클릭한 다음 정상적으로 로그인하여 인수인계합니다. 신속7+3북극 늑대+3비트사이트+3

이것이 바로 KEV 포함 이후 익스플로잇 규모가 급증한 이유입니다: 포티웹은 단순한 소프트웨어 노드가 아니라 정책 시행의 요충지이기 때문입니다. 여기서 취약점은 침해를 가속화하는 역할을 합니다. 검은 연+1

기술 핵심: 상대 경로 탐색과 대체 경로 인증 로직의 만남

공급업체 및 현장 보고서에서 발췌한 근본 원인

포티넷의 PSIRT 권고문은 CVE-2025-64446을 다음과 같이 설명합니다. 상대 경로 탐색(CWE-23) 의 라우팅 레이어에서 발견되었습니다. 보고된 바에 따르면 URL 경로가 핸들러로 전송되기 전에 정규화 및 제약이 제대로 이루어지지 않는다는 것입니다. 공격자는 트래버스 스타일의 상대 세그먼트를 삽입함으로써 의도한 경로를 빠져나갈 수 있습니다. /api/ 라우팅 컨텍스트에 도달하여 인증을 올바르게 적용하지 않는 레거시 CGI 또는 관리 프로세서에 도달합니다. FortiGuard+2NVD+2

여러 독립적인 분석에 따르면 이 결함은 다음과 같이 작동합니다. 대체 경로를 사용한 인증 우회(CWE-288)'기본' 경로는 인증을 확인하지만 의미적으로 동등한 '대체' 경로는 확인하지 않습니다. 이러한 이중 분류는 다음과 같이 문제를 구성하기 때문에 운영상 중요합니다. 라우팅-시맨틱 "하나의 나쁜 엔드포인트"가 아니라 그린본+2검은 연+2

실제 착취 패턴(무기화 가능한 디테일 제외)

관찰된 공격은 경로 혼동으로 인해 인증되지 않은 관리 핸들러에 요청이 전달되고, 이를 통해 새로운 권한 있는 사용자를 생성하거나 시스템 수준 명령을 호출하는 등의 관리 작업을 허용하는 예측 가능한 연쇄를 따릅니다. Rapid7, Arctic Wolf, Bitsight는 모두 다음과 일치하는 익스플로잇을 문서화했습니다. 사전 인증 관리자 생성 후 일반 UI 로그인. 해커 뉴스+3래피드7+3북극 늑대+3

중요한 멘탈 모델은 특정 페이로드가 아니라 구조입니다:

경로 이스케이프 → 인증되지 않은 핸들러 → 관리자 플레인 기능 → 전체 어플라이언스 인계 순으로 진행됩니다.

버전 범위 및 수정

영향을 받는 빌드는 여러 포티웹 브랜치에 걸쳐 있습니다. 아래 표는 포티넷 PSIRT 경계를 NVD 및 CISA 요약과 일치시킵니다. FortiGuard+2NVD+2

KEV 상태를 고려할 때 패치 적용은 "다음 유지 관리 기간" 항목이 아닙니다. 지금 당장 긴급 상황. CISA+1

위험한 프로빙 없이 위험 확인

1단계: 인벤토리 노출 및 버전(프로브, 익스플로잇 금지)

보수적인 프로빙으로 시작하여 FortiWeb 관리 표면에 연결할 수 있는지 여부와 사용 중인 버전을 확인합니다. 프로덕션 환경에서 트래버스 페이로드를 사용하지 마십시오.

# FortiWeb 존재 및 관리 노출 확인
curl -k -I https:/// | head -n 20

# 관리자 액세스 권한이 있는 경우 UI에서 펌웨어 버전을 확인합니다.
# 그런 다음 위의 영향을 받는 범위와 비교합니다.

익스플로잇은 사전 인증 및 버전 제한이 있기 때문에 이것만으로도 대부분의 위험을 분류할 수 있습니다. NVD+1

2단계: 로그에서 "경로 의미론 + 관리자 활동" 찾기

그레이노이즈와 Rapid7은 모두 잘못된 관리 경로로 광범위한 스캔을 관찰했으며, 인시던트 기록은 예상치 못한 관리자 사용자의 생성을 강조합니다. 이를 두 가지 상호 연관된 로그 가설로 변환해 보세요:

- 비정상적인 상대 경로 토큰이 /api/ 또는 /cgi-bin/ 관리 경로에 도달하는 경우
- 새로운 로컬 관리자 계정 또는 변경 창 외부의 권한 에스컬레이션
- 관리자가 아닌 IP 또는 홀수 시간대에 설정된 WebSocket/CLI 세션

간단한 SIEM 쿼리는 다음과 같습니다:

SELECT *
FROM fortiweb_http_logs
WHERE url_path LIKE '%..%'
  AND (url_path LIKE '%/api/%' OR url_path LIKE '%/cgi-bin/%')
  AND response_status IN (200, 302)
  AND timestamp > now() - 간격 '14일';

이러한 신호가 같은 시간대에 동시에 발생하면 해당 디바이스를 잠재적으로 손상된 것으로 간주하고 사고 대응 플레이북을 따르세요. 래피드7+2그레이노이즈+2

AI 보안 엔지니어가 패치-앤-무브온 그 이상을 신경 써야 하는 이유

CVE-2025-64446은 에이전트 보안 워크플로에 중요한 두 가지 트렌드에 대한 간략한 사례 연구입니다.

첫째, 클래식 경로-시맨틱 인증 우회. 기존 스캐너는 알려진 엔드포인트와 서명을 키로 사용합니다. 여기서 익스플로잇은 경로 표준화 간극을 통해 레거시 핸들러에 도착하는 요청에 달려 있습니다. 이는 모델이 라우팅 그래프와 과거 CGI 표면을 추론한 다음 안전한 프로그래밍 프로브를 사용하여 가설을 검증하는 하이브리드 LLM 워크플로우에 자연스럽게 적합합니다. 그린본+1

둘째, 악용 공식적인 CVE 할당 이전. 10월 초에 허니팟에서 공개 PoC 트래픽이 관찰되었고, 11월 중순에 CVE 및 벤더 권고가 발표되었습니다. 이 '조용한 패치 적용 + 지연된 공개' 기간은 자동화가 일반적으로 실패하는 바로 그 시기로, 아직 안정적인 지문이 없기 때문입니다. 신속7+2북극 늑대+2

따라서 이 CVE는 단순한 사고가 아니라 최신 엣지 디바이스 제로데이에 대한 수요를 상기시켜 줍니다. 추론에 기반한 사전 공개 방어시그니처 체이스뿐만 아니라

제어된 유효성 검사

CVE-2025-64446과 같은 제로데이에서 방어자들은 종종 증거가 빨리 필요하지만 완전히 무기화된 PoC는 신뢰할 수 없거나, 프로덕션에서 실행하기에 안전하지 않거나, 아직 공개되지 않았을 수 있다는 격차에 직면하게 됩니다. 펜리전트와 같은 에이전트 펜테스팅 및 검증 플랫폼은 연구 체인을 감사 가능한 엔지니어링 루프로 전환할 수 있습니다.

실질적인 접근 방식은 에이전트가 신뢰할 수 있는 소스(포티넷 PSIRT, CISA KEV, Rapid7 ETR, 그레이노이즈 텔레메트리)를 수집하고 영향을 받는 버전과 시맨틱 공격 표면을 추출한 후 격리된 실험실 클론을 위한 최소한의 통제된 검증 계획 을 사용합니다. 이를 통해 무분별한 온프로드 악용을 방지하는 동시에 위험에 대한 구체적인 증거를 확보할 수 있습니다. 그레이노이즈+3포르티가드+3CISA+3

마찬가지로 중요한 것은 Penligent의 증거 우선 보고를 통해 HTTP 추적, 구성 차이점, 관리자 계정 타임라인 및 수정 노트를 자동으로 패키징할 수 있다는 점입니다. 운영팀 경영진이나 규제 기관에 긴급 업그레이드를 정당화해야 하는 AI 보안팀의 경우, '추론 → 통제된 검증 → 방어 가능한 보고' 파이프라인이 실제로 시간과 논쟁을 줄여주는 부분입니다.