국가보안연구소 연구진 발견...원격에서 RX3i를 정지상태(halt mode)로 만들 수 있어
국보연 “RX3i에서 발견된 보안 취약점 매우 위험, 보유 기관들은 반드시 패치 수행해야”

[보안뉴스 원병철 기자] 전 세계 기반시설에서 널리 사용 중인 GE의 고성능 PLC(Programmable Logic Controller)인 ‘PACSystems RX3i’에서 치명적인 서비스 거부 취약점(CVE 2019-13524)이 발견됐다. PLC 관리 소프트웨어인 PME(Proficy Machine Edition)와 RX3i 사이 통신에 사용하는 제조사 전용 프로토콜의 특정 네트워크 패킷을 정교하게 조작할 경우, 별도의 인증과정 없이 원격에서 RX3i를 정지상태(halt mode)로 만들 수 있다.


[이미지=iclickart]

제조, 수처리, 댐, 에너지 등 다양한 기반시설에서 모터·펌프·밸브와 같은 현장장치의 제어를 담당하는 PLC가 갑자기 정지상태로 빠지게 될 경우, 기반시설의 물리적 피해 및 경제적 손실이 발생할 수 있다.

PACSystems RX3i는 전 세계적으로 제조, 수처리, 댐, 에너지 분야 등 다양한 기반시설에서 널리 사용되는 임베디드 제어기기로, 에머슨(Emerson)이 2019년 2월 GE의 ‘Intelligent Platforms’ 사업부문을 인수하게 되면서 Emerson의 자동화 솔루션으로 편입됐다.

해당 취약점을 찾아낸 국가보안기술연구소(소장 조현숙, 이하 국보연)는 기반시설 제어시스템 취약점 대응 업무를 담당하고 있는 CISA(구 ICS-CERT)에 통지(ICSA-20-014-01) 함으로써, 제조사인 GE가 취약점 패치를 개발 및 배포하도록 했다고 밝혔다.

국보연 연구진은 “RX3i에서 발견된 보안 취약점은 제어시스템과 사이버보안에 대한 전문지식이 있는 공격자라면 어렵지 않게 공격할 수 있는 위험한 취약점”이라면서, “대다수의 RX3i CPU 모델이 취약점을 가지고 있어 해당 모델을 보유한 기관들은 반드시 보안패치를 수행해야 하며, 곧바로 패치 적용이 어려울 경우 망분리·접근통제와 같은 보안대책을 적용해야 한다”고 언급했다.

PACSystems RX3i는 성능 및 목적에 따라 다양한 CPU 모델이 존재한다. 기술지원이 만료된 CRU320 모델을 제외한 CPE100/115/302/205/310/330/400, CPL410 모델을 대상으로 취약점이 패치된 펌웨어(9.90 이후 버전)를 현재 Emerson이 배포하고 있다.

국보연 기반기술 본부장은 “국보연은 국가기반시설 제어시스템의 보호 업무를 꾸준히 수행해 왔으며, 앞으로도 제어시스템에 사용되는 각종 지능형 제어기기에 대한 취약점을 찾아 선제적으로 보호대책 수립에 필요한 보안기술을 연구개발 할 것”이라고 밝혔다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>