CVE-2022-28986 취약점 조치방법·실무 가이드

1공통 판단 원칙

• CVE 조치 여부는 CVE ID만으로 판단하지 않고, 영향 제품, 컴포넌트, 설치 방식, 현재 설치 버전, 공급사 공식 수정 버전, OS 배포판 보안 공지 존재 여부를 함께 확인합니다.
• dnf updateinfo, yum updateinfo, apt, zypper 같은 패키지 관리자 명령은 현재 활성화된 OS 저장소와 보안 공지 메타데이터 기준의 보조 확인 수단입니다.
• 명령 결과가 없더라도 영향 없음으로 단정하지 않습니다. 애플리케이션, 컨테이너 이미지, npm/pip/Maven/Gradle 패키지, 수동 설치 제품은 OS 패키지 관리자 결과에 표시되지 않을 수 있습니다.
• 본 조치 가이드는 현재 저장된 CVE/NVD/KISA/CISA/공급사 참조정보와 일반 설치방식 기준으로 생성한 참고 문서입니다. 실제 운영 환경의 에디션, 배포판 백포트, 패키지명, 펌웨어 빌드, 관리형 서비스 정책, 공급사 최신 권고와 다르면 공급사 최신 공식 문서와 내부 변경승인 절차를 우선합니다.
• 가이드와 실제 화면·명령어·패키지명이 다르면 그대로 적용하지 말고, 제품 버전, 설치 방식, 배포판, 에디션, 패치 채널을 기록한 뒤 담당자가 재검토해야 합니다.
• 최종 조치 여부는 단일 명령어 결과가 아니라 영향 제품, 설치 버전, 설치 방식, 공식 수정 버전, OS 배포판 보안 공지, 실제 패키지 업데이트 여부를 종합해 판단합니다.

현재 설치 버전 확인 필요

현재 시스템에 영향 제품 또는 컴포넌트가 실제 설치되어 있는지와 전체 버전을 먼저 확인해야 합니다.

설치 방식 확인 필요

OS 패키지, 수동 바이너리, 컨테이너, 언어 패키지, 전용 장비 등 설치 방식을 구분해야 합니다.

공급사 수정 버전 미확인

현재 저장 데이터에 공급사 수정 버전이 없으므로 공식 보안공지와 릴리스노트를 먼저 확인해야 합니다.

OS 패키지 관리자만으로 판단 불가

이 CVE는 OS 패키지 관리자 결과만으로 영향 여부나 조치 완료 여부를 판단하기 어렵습니다.

OS 저장소 보안 공지 미확인

DNF/YUM/APT/Zypper 결과가 없으면 영향 없음이 아니라 현재 OS 저장소 기준 매핑 정보를 찾지 못한 상태로 기록합니다.

해석 기준: 패키지 관리자 명령 결과는 보조 근거입니다. “결과 없음”은 “영향 없음”이 아니라 “현재 저장소 기준 매핑 정보 미확인”으로 우선 해석합니다.

환경 차이 안내: 조치 가이드의 명령어·패키지명·화면 경로가 실제 운영 환경과 다르면 그대로 적용하지 말고, 공급사 최신 공식 문서와 내부 변경승인 절차를 우선합니다. 차이가 확인되면 제품 버전, 설치 방식, 배포판, 에디션, 패치 채널을 기록한 뒤 담당자가 재검토해야 합니다.

2취약점 개요

취약점 번호

CVE-2022-28986

대상 제품

n/a n/a, 2 factor authentication

관련 기능

Oracle WebLogic Server, Fusion Middleware Oracle Home, Domain, AdminServer, Managed Server, Java runtime

위험도

높음 / CVSS 7.5

취약점 유형

접근통제 오류, CWE-639

영향

LMS Doctor Simple 2 Factor Authentication Plugin For Moodle Affected: 2021072900 has an Insecure direct object references (IDOR) vulnerability, which allows remote attackers to update sensitive records such as email, password and phone number of other user accounts.

영향 대상

데이터베이스·미들웨어에서 n/a n/a, 2 factor authentication를 사용하고 영향 버전(n/a n/a, 2 factor authentication n/a, 2021072900)에 포함되는 운영 인스턴스

3영향 버전

• 영향 있음: n/a n/a, 2 factor authentication n/a, 2021072900
• 패치 버전: 공식 패치 버전 추가 확인 필요
• 운영 권장 버전: Oracle Critical Patch Update(CPU), 제품별 Risk Matrix, My Oracle Support 패치 README에서 영향 제품·컴포넌트·패치 번호를 확인한 뒤 지원되는 Oracle Home별 조치 절차를 적용합니다.
• 정식 조치는 Oracle CPU와 패치 README에서 지정한 Oracle Home별 패치, WebLogic/Fusion Middleware 패치셋, Database SQL patch를 적용하는 것입니다.

6즉시 업그레이드가 어려운 경우 임시 완화

• Oracle CPU 또는 패치 README에 명시된 Workaround가 있을 때만 공식 임시완화로 표시합니다.
• Listener 접근 제한, 방화벽, WAF, WebLogic Admin Console/T3 차단, 계정 잠금 같은 조치는 위험 완화일 수 있으나 Oracle Home 패치와 datapatch 적용을 대체하지 않습니다.
• Oracle Database는 OPatch binary 적용 후 datapatch SQL 반영이 필요한 패치가 있으므로 OPatch만 성공하고 DBA_REGISTRY_SQLPATCH가 미반영이면 완료 처리하지 않습니다.
• RAC, Data Guard, WebLogic Cluster는 노드·인스턴스·Managed Server별 적용 순서와 서비스 영향이 다르므로 단일 서버 절차처럼 처리하지 않습니다.
• 위 임시 완화는 제품 특성을 반영한 운영상 완화책이며, 공식 Workaround가 아닌 경우 시큐포커스 의견으로 구분해 적용합니다.
• 민감 API·관리 기능을 제한하고 다른 사용자·조직 데이터 조회 흔적과 권한 변경 로그를 확인합니다.
• 접근통제 오류 특성상 우선 노출면을 줄이고 관련 로그를 집중 확인합니다.

시큐포커스 의견: 임시 완화는 정식 패치 전 노출면을 줄이는 조치입니다. 최종 조치는 반드시 공식 수정 버전 적용으로 완료해야 합니다.

7추가 점검사항

• Oracle Home 경로, OPatch 버전, opatch lsinventory 결과, 패치 README의 적용 대상 Oracle Home이 일치하는지 확인합니다.
• Database 환경은 v$version, DBA_REGISTRY_SQLPATCH, listener.ora/tnsnames.ora, RAC/Grid Infrastructure/ASM/Data Guard 구성 여부를 함께 확인합니다.
• WebLogic 환경은 ORACLE_HOME, DOMAIN_HOME, AdminServer/Managed Server, Node Manager, Java 버전, 배포 애플리케이션, T3/Admin Console 외부 노출 여부를 확인합니다.
• Oracle CPU는 제품군별 Risk Matrix와 패치 번호가 분리될 수 있으므로 Database CPU만으로 WebLogic 또는 Fusion Middleware 조치 완료 처리하지 않습니다.
• 역할별 기능·데이터 접근표와 객체 ID·테넌트·조직 경계가 적용되는 API를 확인합니다.
• 역할·권한 매트릭스, 권한별 접근 테스트, 비정상 데이터 조회·권한 변경 점검 결과를 남깁니다.
• 가이드의 명령어·패키지명·화면 경로가 실제 운영 환경과 다르면 공급사 최신 공식 문서와 내부 변경승인 기준을 우선하고, 차이점을 조치 증적에 남깁니다.
• 인터넷 노출 시스템, 비신뢰 사용자가 접근 가능한 시스템, 민감 데이터나 빌드 산출물이 있는 시스템을 우선 조치 대상으로 분류합니다.

9최종 조치 결과 기록 예시

조치 대상

n/a n/a, 2 factor authentication

취약점 번호

CVE-2022-28986

조치 전 버전

n/a n/a, 2 factor authentication x.x.x

조치 후 버전

n/a n/a, 2 factor authentication · 수정 버전은 공급사 공식자료 확인 필요

조치 내용

정식 조치는 Oracle CPU와 패치 README에서 지정한 Oracle Home별 패치, WebLogic/Fusion Middleware 패치셋, Database SQL patch를 적용하는 것입니다.

임시 완화 여부

적용 여부와 기간을 기록

조치 후 확인

동일 명령으로 버전·서비스·로그 정상 확인

영향 여부

n/a n/a, 2 factor authentication · 수정 버전은 공급사 공식자료 확인 필요 기준 충족은 버전 기준 완료 후보이며, 설치 방식·서비스 상태·공식 공지 근거·재시작 필요 여부를 종합 확인 후 완료 판단

가이드 차이 발생 시

실제 환경과 가이드가 다르면 공급사 최신 공식 문서, 내부 변경승인, 담당자 재검토 결과를 우선 근거로 기록

10출처