CVE-2023-22894는 오픈소스 헤드리스 CMS Strapi에서 민감정보가 암호화되지 않은 평문 상태로 저장되는 Cleartext Storage of Sensitive Information 결함입니다. Strapi의 공식 보안 공개 글과 CISA의 알려진 악용 취약점(KEV) 카탈로그 등재가 함께 확인되므로, 이론상 시나리오가 아니라 실제 악용이 확인된 계열의 취약점으로 다룰 근거가 확보된 사례입니다. 다만 구체적인 영향 버전, KEV 등재 일자, 평문으로 남는 데이터 항목은 이번에 확보된 인용 범위에 포함되지 않아, 아래 내용을 적용하기 전에 공식 문서 확인이 필요합니다.
개요
Strapi 공식 보안 공개 문서는 CVE-2023-22894를 CVE-2023-22893, CVE-2023-22621과 같은 문서로 공시했고, 그 문서에 따르면 전체 공개(full disclosure)는 4/17 09:00 AM UTC에 이루어졌습니다. 인용에는 연도가 표기되지 않아 연도는 별도 확인이 필요합니다. CISA 카탈로그와 Strapi 공개 글 모두 이 취약점을 민감정보 평문 저장으로 기재합니다.
CISA의 알려진 악용 취약점 카탈로그에는 CVE-2023-22894 항목이 등록되어 있고, MITRE CVE 레코드의 영문 설명에도 CVE-2023-22894 added to CISA KEV 문구가 반영되어 있습니다. KEV 등재는 벤더 경고와 별도로, 실제 악용이 확인된 취약점을 기준으로 목록이 관리된다는 점에서 의미가 있습니다.
벤더가 공개한 평가값은 CVSS v3.1 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 입니다. 네트워크 경유, 낮은 접근 복잡도, 인증 없음, 사용자 개입 없는 조건에서 기밀성·무결성·가용성 모두에 High 영향을 둔다는 조합입니다. 확보된 인용에는 이 벡터 문자열만 있고 파생된 기본 점수 숫자는 없으므로, 이 글에서는 점수를 추정해 쓰지 않습니다.
영향 범위
대상 제품은 Strapi입니다. 영향 버전 범위는 공식 공개 문서의 Affect 항목에 명시되어야 할 부분이 확보된 인용에서 버전 목록 직전에서 잘려 있어, 이 글에서 특정 버전 번호를 확정하지 않습니다. 우리 인스턴스가 영향 버전인가라는 첫 질문은 이 글이 아니라 Strapi 공식 보안 공개 글에서 직접 결론내려야 합니다.
확보된 자료로 특정되는 적용 조건은 Strapi가 민감정보를 평문으로 저장하는 환경입니다. 그리고 실제 영향 범위는 그 저장 계층, 즉 데이터베이스와 백업·덤프 파일까지 이어지는 접근 경로가 어디까지 열려 있는가에 따라 달라집니다.
직접적 피해는 저장 계층을 읽을 수 있는 주체가 저장된 민감정보를 암호문 없이 그대로 보게 되는 것입니다. 분석상 조건부 해석으로서, 노출된 자격 증명이 동일 Strapi 인스턴스의 관리자 권한 탈취와 2차 침투의 출발점이 되어 저장 계층 노출 자체보다 파급이 커질 수 있다는 점은留意해야 합니다. 이 문장은 평문 저장 결함과 KEV 등재라는 확인된 사실에서 도출한 해석이며, 실제 침투 경로·공격 주체·공격 시점은 확보된 증거에 없습니다.
평문으로 저장되는 민감정보의 구체적 항목과 저장 위치, 즉 어떤 데이터 필드에 무엇이 남는지도 인용 범위에 포함되지 않았습니다. 이 글은 자격 증명류의 노출 가능성을 열어두되, 노출 항목을 단정하지 않습니다.
기술적 분석
평문 저장이 만드는 조건
결함의 핵심은 저장 시점에 있습니다. Strapi가 데이터베이스 등 저장 계층에 민감정보를 암호화하지 않은 상태로 기록하면, 저장 계층을 읽을 수 있는 주체는 그 데이터를 그대로 읽게 됩니다. 이 관점에서 평문 저장은 저장 계층 노출과 결합될 때 피해를 확정시키는 성격의 결함입니다.
여기서 분리해서 봐야 할 층위가 있습니다. 하나는 Strapi가 민감정보를 평문으로 저장한다는 결함 자체이고, 다른 하나는 벤더가 공개한 CVSS v3.1 벡터가 AV:N/AC:L/PR:N/UI:N, 즉 인증 없는 네트워크 접근을 전제로 평가되었다는 사실입니다. 확보된 인용에는 이 벡터 문자열이 전부여서, 벡터가 어떤 구체적 공격 절차로 이어지는지, 저장 계층의 노출 없이 피해가 발생하는 경로가 있는지, 기본 점수는 얼마인지는 이 자료로 확인할 수 없습니다. 따라서 이 글은 확인된 두 사실, 즉 평문 저장이라는 결함과 KEV 등재로 확인된 실제 악용만을 기준으로 위험을 읽고, 그 범위를 넘는 공격 경로 시나리오는 결론으로 삼지 않습니다. 두 층위를 어떻게 연결할지는 Strapi 공식 보안 공개 글의 상세 기재와 각 환경의 구성 확인으로 남겨야 합니다.
KEV 등재와 공개 PoC 부재를 함께 읽는 법
이 취약점에 대해서는 조사 시점 기준 공개 PoC가 발견되지 않았습니다. 다만 PoC 공개 여부와 실제 악용 여부는 서로 다른 신호입니다. KEV 등재는 공개된 개념 증명 코드가 없어도 악용이 관측되었음을 정부 기관이 확인했다는 뜻이므로, PoC가 없으니 실험적 위협이라는 분류는 이 사례에 적용할 수 없습니다. 운영상 판단을 정리하면, PoC 공개를 기다려 대기 순서에 두는 것이 아니라 KEV 등재 자체를 근거로 점검 순서를 앞당기는 편이 타당합니다.
한 가지 구분할 점은 KEV 등재 일자입니다. 정확한 date added와 악용 관찰 정황은 확보된 인용에 없으므로, 이 글에서 근거로 삼을 수 있는 시점 정보는 없습니다. 대응 시에는 CISA KEV 카탈로그의 CVE-2023-22894 항목에서 등재 정보를 직접 확인해야 합니다.
대응 방안
확인된 사실로 정하는 우선순위
- 운영 중인 Strapi 인스턴스의 존재와 버전을 파악하고, Strapi 공식 보안 공개 글의 Affect 항목과 대조해 영향 범위 포함 여부를 확정하세요.
- 같은 공식 문서에서 권장 버전을 확인한 뒤 업그레이드하는 것이 근본 대응입니다. 권장 버전 번호는 확보된 인용 범위에 없어 이 글에서 숫자를 제시하지 않습니다.
- 이 취약점은 KEV 등재로 실제 악용이 확인된 상태이므로, PoC 공개 여부와 무관하게 대응 순서를 앞에 두는 것이 타당합니다. 이 판단은 KEV 등재라는 확인된 사실에서 도출한 운영 해석입니다.
- CVSS 관점에서는 벤더가 공개한 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H가 기밀성·무결성·가용성 모두의 높은 영향을 나타내므로, 확인된 버전 정보와 KEV 등재 사실을 기준으로 우선순위를 비교하되, 벡터 문자열에서 읽을 수 없는 공격 경로까지 해석에 포함하지는 마세요.
이번 글에서 확정하지 못하는 사항
- 영향 버전 범위와 권장 업그레이드 버전: 공식 문서 인용이 Affect 항목 직전에서 잘려 있어 확인이 필요합니다.
- KEV 등재 일자(date added)와 악용 관찰 정황: 확보된 증거에 없어 악용 시점을 특정할 수 없습니다.
- 평문으로 저장되는 민감정보의 항목과 저장 위치: 벤더 추가 공개가 필요한 영역으로, 노출 가능한 데이터의 범위를 이 글에서 특정하지 못합니다.
- 공개 PoC 부재는 조사 시점 기준 결과이며, 이후 공개 여부를 보장하지 않습니다.
- 데이터베이스·백업 구성, 암호화 설정, 개발 표준, 로그 기반 탐지 절차, 패치 우선순위 자동 계산과 같은 구체적 운영 지침은 제공된 근거가 뒷받침하지 않아 이 글에서는 제시하지 않습니다.
참고자료
- CVE-2023-22894 Record
- Security Disclosure of Vulnerabilities: CVE-2023-22893, CVE-2023-22621, and CVE-2023-22894
- Known Exploited Vulnerabilities Catalog - CVE-2023-22894
함께 읽으면 좋은 글
- CVE-2026-118527: Ivanti Connect Secure 예측 가능한 식별자와 파일 업로드 체인 KEV 등재 점검
- CVE-2026-118550 Drupal AI 모듈 접근 우회(SA-CONTRIB-2026-270) 분석과 점검
- CVE-2026-109618: PHP 메모리 손상 결함의 KEV 등재와 미인증 RCE 노출 환경 점검
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!