[KRCERT]美 CISA 발표 주요 Exploit 정보공유(Update. 2025-09-03)

내용 요약

TP‑Link Archer C7 (EU)와 TL‑WR841N/ND (MS) 기기에서 OS Command Injection(CVE‑2025‑9377)과 Authentication Bypass by Spoofing(CVE‑2023‑50224) 취약점이 확인돼, 해당 기기의 Parental Control 페이지와 httpd 서비스가 공격자에게 제어권을 부여할 수 있습니다.
위치가 End‑of‑Life(EoL) 또는 End‑of‑Service(EoS)인 제품이라면, 제조사 보안 패치를 적용하거나 사용 중단이 권고됩니다.

핵심 포인트

• OS Command Injection: Parental Control 페이지에서 입력값이 바로 OS 명령어로 실행되는 취약점.
• Authentication Bypass: httpd(포트 80)에서 인증 정보를 스푸핑해 로그인 우회 가능.
• 취약점 대응: TP‑Link 공식 보안 패치(버전 확인) 적용 → BOD 22‑01 가이드 준수 → 패치 불가 시 제품 사용 중단.

기술 세부 내용

1️⃣ OS Command Injection (CVE‑2025‑9377)

• 공격 흐름
  1. 공격자는 Parental Control 페이지의 입력 필드(예: “Child Profile Name”)에 쉘 명령어를 삽입.
  2. 라우터는 입력값을 그대로 /bin/sh에 전달 → 명령어 실행.
  3. 악의적 명령(예: wget, nc)으로 장치 제어, 정보 탈취, 리버스 쉘 획득 가능.
• 영향 범위
  • 라우터 전체 제어권 탈취 → 네트워크 보안 붕괴.
  • 데이터 유출 가능 (가정용 NAS, CCTV 등 연결 장치).
• 취약점 확인
  • Archer C7 (EU), TL‑WR841N/ND (MS)에서 Parental Control URL(http://<router>/parental_control)를 테스트.
  • payload를 삽입해 command= 파라미터에 ;id 등으로 결과 확인.
• 패치 및 완화
  1. TP‑Link 공식 웹사이트에서 최신 펌웨어(버전 ? 이상) 다운로드.
  2. 라우터 관리자 → System → Firmware Update → 새 펌웨어 업로드.
  3. 재부팅 후 Parental Control 기능 비활성화(가능 시).
  4. BOD 22‑01 가이드에 따라 클라우드 기반 관리 서비스 사용 시 추가 보안 설정(HTTPS, 2FA 등).
  5. 패치가 제공되지 않으면 제품 사용 중단 권고.

2️⃣ Authentication Bypass by Spoofing (CVE‑2023‑50224)

• 공격 흐름
  1. 공격자는 httpd(포트 80)로 접속, Authorization: Basic <spoofed> 헤더를 전송.
  2. 라우터는 전달된 자격 증명을 신뢰하여 관리자 권한을 부여.
  3. 비인가 사용자는 펌웨어 업데이트, 네트워크 설정 변경, 비밀번호 재설정 등 가능.
• 영향 범위
  • 기기 설정 전체 조작 → 서비스 중단, 데이터 유출.
  • 악성 펌웨어 설치 시 시스템 전체가 악성화될 수 있음.
• 취약점 확인
  • curl -v -H "Authorization: Basic dXNlcjpwYXNz" http://<router>/login → 200 OK 응답이 정상 관리자 인증처럼 보이는지 확인.
• 패치 및 완화
  1. TP‑Link TL‑WR841N 공식 펌웨어(버전 ? 이상) 적용.
  2. HTTP 대신 HTTPS 사용하도록 라우터 설정 강화.
  3. HTTP Basic 인증 대신 Token‑Based 인증 또는 2FA 도입(가능 시).
  4. BOD 22‑01 가이드에 따라 클라우드 서비스와 연동 시 인증 토큰을 안전하게 저장.
  5. 패치가 제공되지 않을 경우 제품 사용 중단을 권고.

주의
– EoL / EoS 제품은 보안 패치가 제공되지 않을 가능성이 높으므로, 최신 보안 패치를 받을 수 없는 경우에는 기기 교체를 권장합니다.
– BOD 22‑01 가이드는 클라우드 기반 관리 서비스를 사용하는 조직에 필수이며, 모든 라우터 설정을 HTTPS, 강력한 인증, 최소 권한 원칙으로 구성해야 합니다.

 

출처: https://knvd.krcert.or.kr/detailSecNo.do?IDX=6576