파일 시스템 권한 획득한 공격자가 조작된 HTTP 요청으로 심볼릭 링크 악용
CISA, 알려진 취약점 목록(KEV) 등재 및 8월 10일까지 연방 기관 대상 조치 의무화

[보안뉴스 김형근 기자] 미국 사이버보안및인프라보안국(CISA)이 포티넷(Fortinet)의 방화벽 및 보안 제품 운영 체제인 ‘포티OS’(FortiOS)에서 발견된 신규 취약점(CVE-2025-68686)이 실제 공격에 악용되고 있음을 확인하고 이를 알려진 취약점(KEV) 카탈로그에 등재했다.



이번 결함은 인가되지 않은 행위자에게 민감한 정보가 노출되는 취약점(CWE-200)으로 분류된다. CISA 조사 결과, 이번 취약점은 인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 특정 장비에 전송할 경우 ┖심볼릭 링크┖(Symbolic link)를 이용한 지속성 기법을 차단하기 위해 마련된 기존 방어 패치를 우회할 수 있는 것으로 나타났다.

다만, 이 취약점을 활용하려면 공격자가 사전에 ‘포티 OS’ 장비를 침해해 파일 시스템 수준의 접근 권한을 확보한 상태여야 한다. 모든 상황이 충복되면 이번 취약점은 기업의 지속성 방어 매커니즘을 무력화하는 동시에 보호된 파일에 접근하거나 치료 단계를 방해하며 장기 잠입할 수 있다.

CISA는 해당 취약점이 랜섬웨어 캠페인에 악용됐는지 여부에 대해서는 특별히 언급하지 않았다. 다만, 실제 악용 사례가 확인된 만큼 기업들은 인터넷에 노출된 ‘포티OS’ 장비를 최우선 보안 과제로 지정했다.

미국 연방 민간 행정부(FCEB) 산하 기관들은 내달 10일까지 필수 완화 조치를 적용해야 한다. CISA는 위험도에 따라 보안 업데이트의 우선순위를 지정하는 운영 지침(Binding Operational Directive 26-04)을 준수하고 포티넷의 공급업체 지침을 따를 것을 지시했다.

해당 기관의 담당자들은 포티OS 자산 식별을 시작으로 관리 인터페이스나 VPN이 인터넷에 직접 노출되어 있는지 확인해야 한다. 이번 취약점이 사전 침해를 전제로 하는 만큼, 기기가 이미 장악되었을 가능성을 열어두고 포렌식 조사 요구 사항(Forensics Triage Requirements)을 준수해 심층 조사를 진행할 것을 권고했다.

또, 관리자 로그인 기록, 구성 변경 내역, 의심스러운 HTTP 요청, 새로 생성된 파일 및 예기치 않은 지속성 아티팩트 등을 면밀히 검토해야 한다. 당장 완화 조치가 불가능하면 안전한 치료 경로가 마련될 때까지 외부 노출을 차단하거나 사용을 중단해야 한다고 덧붙였다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>