Kentico Xperience CMS의 XSS 연계 원격코드실행 취약점 분석

Kentico Xperience CMS XSS Vulnerability Allows Remote Code Execution

Kentico Xperience CMS XSS Vulnerability Allows Remote Code Execution

 

• 취약점 개요
  • Kentico Xperience CMS에서 발견된 취약점 체인은 비인증 XSS(교차 사이트 스크립팅)를 시작으로 인증된 공격자의 원격코드실행(RCE)까지 이어짐
  • CVE-2025-2748로 추적되며, WatchTowr Labs에서 PoC(개념증명)를 포함한 상세 분석 보고
• 주요 공격 흐름
  • 1단계: 비인증 리소스 조회(GetResource.ashx)
    • CMS.UIControls.GetResourceHandler는 인증 없이 이미지 및 스크립트 리소스를 불러올 수 있음
    • SVG 파일 내 자바스크립트를 브라우저가 처리하는 특성을 악용하여 XSS 실행 가능
  • 2단계: 비인증 파일 업로드(MultiFileUploader.ashx)
    • CMS.DocumentEngine.Web.UI.ContentUploader를 통해 제한된 확장자의 임시 파일 업로드 가능
    • 업로드 파일은 예측 가능한 웹 접근 경로에 위치하게 되어 공격 연계에 활용
  • 3단계: ZIP 처리 기능 악용
    • Kentico는 ZIP 파일 내 리소스를 가상 경로로 추출하여 렌더링하는 기능 제공
    • 악성 SVG 파일을 포함한 ZIP을 업로드 후 GetResource.ashx로 호출하여 XSS 발생
    • PoC 호출 예시
      http://hostname/CMSPages/GetResource.ashx?image=/App_Data/CMSTemp/MultiFileUploader/.../[poc.zip]/poc.svg
  • 4단계: 인증 기반 RCE 확장
    • 인증 사용자 권한 내에서 파일 확장자 허용 리스트를 조작 가능
    • ASPX 웹쉘 업로드를 통해 웹 루트에서 직접 명령 실행 가능
• 보안 영향
  • 비인증 XSS를 통해 브라우저 기반 스크립트 실행 가능
  • 인증 사용자 대상의 RCE 실행을 통해 서버 제어권 탈취 가능
  • 취약점은 CMS 관리자 권한 오남용, 접근제어 미비, 파일 처리 로직 허술 등 복합적인 보안 설계 미비로 연결됨
• 보안 권고
  • Kentico가 보안 패치를 신속히 제공, 최신 버전 적용 필수
  • GetResource.ashx, MultiFileUploader.ashx 등 비인증 접근 가능한 핸들러에 대한 접근 제한 권장
  • 파일 업로드 처리 시 확장자, 콘텐츠 타입 등 다중 필터 적용 및 경로 제어 수행
  • 관리 인터페이스 내 파일 확장자 조정 기능은 강력한 인증과 승인 체계 기반으로 운영 필요
• 결론
  • XSS는 단독으로는 치명성이 낮을 수 있으나, 취약점 체인과 결합 시 RCE로 확장될 수 있음
  • CMS와 같은 복합 시스템은 핸들러 기반 동작을 정확히 이해하고 보안 설계를 재점검해야 하며, 인증과 접근제어에 기반한 방어 전략이 핵심