어드밴텍에서 제조되는 무선 AP 장비 일부에서 스무 개의 취약점이 발견됐다. 이를 익스플로잇 하다보면 산업 현장 내 네트워크에 들어가 여러 종류의 공격을 실행할 수 있게 된다고 한다. 산업 현장의 무선 기술에 관심을 가져야 할 때다.

[보안뉴스 문정후 기자] 각종 산업 시설에도 무선 기술이 빠르게 도입되고 있다. 그러면서 새로운 취약점들도 속속 나타나는 중이다. 이 때문에 각종 산업 환경에서 무선 장치에 대한 보안 강화가 점점 필수 과제로 자리를 잡아가는 중이다. 최근 무선 접근점(AP) 장비 일부에서 위험한 취약점들이 발견되면서 이러한 현실이 다시 한 번 확인됐다.


[이미지 = gettyimagesbank]

OT 보안 전문 업체 노조미네트웍스(Nozomi Networks)에 의하면 어드밴텍(Advantech)이라는 기업에서 만든 산업용 무선 AP 장비인 EKI-6333AC-2G 1.6.2에서 취약점이 발견됐다고 한다. “이 장치는 험한 환경에서도 견고한 성능을 발휘하도록 만들어져 있습니다. 그렇기 때문에 자동차 생산 라인이나 물류 창고 및 유통 환경 등 다양한 분야에서 널리 활용되고 있습니다. 그런데 이번에 저희 노조미에서 분석했을 때 20개가 넘는 취약점들이 발견됐습니다. 심각한 사태를 초래할 수 있는 취약점들이었습니다.”

노조미는 이러한 분석 결과를 어드밴텍에 알렸고, 어드밴텍 측에서는 새로운 펌웨어 버전을 개발해 배포했다. 안전한 버전은 다음과 같다.
1) 1.6.5(EKI-6333AC-2G 및 EKI-6333AC-2GD)
2) 1.2.2(EKI-6333AC-1GPO)
사용자 기업 측에서는 어드밴텍 제품의 펌웨어 버전을 확인하여 알맞게 업데이트 하는 게 안전하다.

어떤 취약점들이 발견됐나?
이번 연구를 통해 발견된 취약점의 목록은 다음과 같다. CVSS 점수가 높은 순서대로 정리한다.
1) CVE-2024-50370 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 9.8점)
2) CVE-2024-50371 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 9.8점)
3) CVE-2024-50372 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 9.8점)
4) CVE-2024-50373 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 9.8점)
5) CVE-2024-50374 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 9.8점)
6) CVE-2024-50375 : 주요 기능에 대한 인증 누락(CVSS 9.8점)
7) CVE-2024-50376 : 사용자가 입력한 값의 확인 절차 부실(CVSS 7.3점)
8) CVE-2024-50358 : 시스템 설정에 대한 외부 통제 가능(CVSS 7.2점)
9) CVE-2024-50359 ~ 50369 : OS 명령어 특수 요소에 대한 확인 절차 부실(CVSS 7.2점)
10) CVE-2024-50377 : 하드코딩 된 크리덴셜(CVSS 6.5점)

이 취약점들 중 일부는 매우 위험한 것으로 분석됐다. 이런 위험한 취약점을 공략하는 방법은 크게 두 가지로 정리되고 있다.
1) 공격자가 LAN이나 WAN 유형의 네트워크를 통해 AP와 직접 상호작용할 수 있는 상황을 만들고, 이를 기반으로 악성 요청을 제작하여 취약점을 익스플로잇 한다.
2) 네트워크를 통하지 않고, 무선 기술을 이용하여 공격한다. 이럴 때는 취약점이 있는 AP와 물리적으로 가까이 있어야 한다.

“어떤 쪽이든 이런 공격에 성공한 자는 피해자의 내부 자원에 지속적으로 접근할 수 있게 됩니다. 그런 후 백도어를 심어 또 다른 접근 경로를 확보할 수도 있겠고, 디도스 공격을 실시할 수도 있습니다. 그리고 횡적 이동을 통해 네트워크와 시스템의 더 깊숙한 곳에까지 도달할 수 있게 됩니다. 즉 여러 가지 악성 행위가 가능하다는 것이죠.” 노조미의 설명이다.

노조미는 자사 블로그를 통해 보다 실질적인 공격 시나리오를 다음과 같이 설명했다.
1) 물리적으로 접근한다. 그런 후 공격자가 제어하는 가짜 AP를 이용해 신호를 내보낸다. 이를 통해 취약한 어드밴텍 장비에 중요한 정보(예 : SSID)를 전달한다.
2) 관리자의 접속을 유도한다. 여러 전략을 통해 관리자가 특정 웹 애플리케이션이나 사이트, 포탈 등에 접속하도록 유도하고, 접속과 동시에 자바스크립트 페이로드가 실행되도록 한다.
3) 임의의 명령을 주입하여 시스템을 제어한다. 어떤 명령을 주입하여 실행시키느냐에 따라 공격자는 높은 권한을 가져갈 수도 있고, 백도어 등의 멀웨어를 심을 수도 있게 된다.

와이파이 AP가 취약하다는 것의 의미와 보호법
와이파이 AP가 취약하다는 건, 그리고 익스플로잇의 가능성이 높다는 건 어떤 의미를 갖게 될까? 노조미는 “와이파이 AP가 무선 기술과 유선 네트워크를 연결하는 역할을 한다는 게 중요하다”고 설명을 시작한다. “게다가 주기적으로 송신되는 신호를 통해 네트워크의 존재를 알리고, 네트워크 이름(SSID)과 신호 강도 등의 중요한 정보를 전달합니다. 무선 연결이 가능한 모든 장치에는 이러한 신호를 수신하고 분석하고 해제하는 논리가 내장되어 있습니다. 공격자는 이를 악용해 횡적 움직임에 필요한 정보를 확보할 수 있고, 이를 통해 결국 네트워크의 매우 깊숙한 곳에까지 도달해 네트워크를 장악하거나 디도스 공격을 하거나 민감한 정보를 훔쳐내는 게 가능해집니다.”

따라서 노조미는 “펌웨어의 최신화가 필수”라고 강조한다. “이번 연구의 대상이었던 어드밴텍 제품들의 경우 EKI-6333AC-2G 1.6.5 버전, EKI-6333AC-2GD 1.6.5 버전, EKI-6333AC-1GPO 1.2.2 버전이 가장 안전합니다. 해당 업데이트는 Guardian Air를 사용하여 무선 스펙트럼 기반 공격 실시간 탐지, Wi-Fi 네트워크 설정을 강화하고 인증 방식 강화, 관리 인터페이스의 보안 점검 및 접근 제한 등이 개선 되었습니다. 펌웨어를 최신 상태로 업데이트를 했다면, 보안 센서를 활용해 네트워크의 안전성을 강화하는 것이 중요합니다.”

3줄 요약
1. 산업 현장에서 자주 사용되는 와이파이 AP 장비 일부에서 취약점이 20개나 발견됨.
2. 요즘 산업 현장에도 무선 기술이 빠르게 도입되면서 관련 취약점들도 횡행 중.
3. 노조미네트웍스 및 어드밴텍은 펌웨어 신속한 최신화를 통하여 무선네트워크 위험 완화 지원
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>