70여개 국에서 사용하고 있는 스와코 제품들에서 치명적인 취약점 나와
디버깅 위한 포트 열어둔 채 배포...스마트 시티, 안전하게 운영할 수 있을까

[보안뉴스 문가용 기자] 스와코(SWARCO)라는 회사에서 만든 신호등 제어 장치에서 치명적인 취약점이 발견됐다. 익스플로잇에 성공할 경우 해커는 신호등을 자기 마음대로 제어할 수 있게 된다. 스와코는 오스트리아의 회사로, 신호등과 교통 시스템 관리 도구 및 솔루션 제작에 특화되어 있으며, 약 70개국에 진출해 있는 상태다.


[이미지 = utoimage]

취약점을 찾아낸 건 독일의 사이버 보안 회사인 프로텍트이엠(ProtectEM)으로, 스와코의 CPU LS4000 신호등 제어 장치에서 디버깅용 포트가 열려 있는 걸 우연히 발견했다고 한다. 이 취약점에는 CVE-2020-12493이라는 번호가 붙었고, CVSS 기준으로 10점 만점을 받았다. 2019년 7월에 스와코 측에 알렸지만 지난 4월에야 패치가 배포되기 시작했다.

프로텍트이엠의 피터 프로흘리흐(Peter Frohlich)에 의하면 독일의 한 도시에서 보안 감사를 하다가 이러한 사실을 알게 되었다고 한다. 문제의 장비는 블랙베리(BlackBerry)의 QNX 실시간 OS를 기반으로 하고 있었으며, 한 사거리의 신호등을 담당하고 있었다. 디버깅용 포트가 열려 있었고, 이를 통해 비밀번호 없이 루트에 도달하는 게 가능했다. 즉 누구나 발견만 하면 해당 신호등을 마음대로 조작할 수 있었다는 것이다.

프로흘리흐는 아직까지 해당 시스템이 인터넷을 통해 노출되었다는 증거를 찾을 수 없었다고 한다. 즉 원격 익스플로잇이 가능하다는 구체적인 자료를 찾아내지는 못했다는 것이다. 다만 특정 도시 네트워크에 앙심을 품고 장비에 물리적 접근을 하게 된다면 공격이 가능하다고 한다. 그러면서 프로흘리흐는 “보통 이런 장비들은 도시 곳곳에 흩어져 있기 때문에 항상 철통 보안이 지켜지는 건 아니”라고 설명한다.

“패치가 되지 않은 시스템에 물리적으로 접근하는 데 성공한 공격자라면, 무제한으로 루트 권한을 갖게 됩니다. 크리덴셜을 입력하거나 할 필요도 없습니다. 심지어 장비 사용 설명서와 문서도 정교하게 정리가 되어 있기 때문에, 조작하는 데 어려움도 없습니다. 이런 높은 권한의 접근 통로를 열어둔 건 추후 디버깅 문제 때문입니다. 즉 보안 설정이 잘못되어 있는 것이지 소프트웨어 자체에 취약점이 있다는 뜻은 아닙니다.” 프로텍트이엠 측이 보고서를 통해 밝힌 내용이다.

프로텍트이엠은 물리적 접근을 통해 모든 신호등을 동시에 꺼버리는 공격이 가능하다는 것을 시연을 통해 증명했다. 뿐만 아니라 동시에 모든 불을 빨간불로 바꾸거나 초록색으로 바꾸는 것도 가능했다. 다만 전부 초록색이 되는 경우는 대형 사고로 이어질 수 있기 때문에 별도의 안전 장치가 있고, 따라서 실제 공격이 발생한다고 했을 때 해커가 한꺼번에 모든 불을 초록색으로 바꾸기는 쉽지 않을 것이라고 프로흘리흐는 설명했다.

프로텍트이엠은 그 동안 여러 차례 스마트 시티의 해킹 위험성에 대한 자료를 발표해왔다. 그러면서 “취약점을 찾아 패치하는 건 문제 해결의 극히 일부분”이라는 것을 지속적으로 강조해왔다. 그것보다 한 차원 더 높은 방어 시스템을 갖춰야 한다는 게 프로텍트이엠의 주장이다. 그런 내용은 이번 보고서에도 들어가 있었다.

“스마트 시티의 시대로 들어서면서 새로운 문제들이 자꾸만 발견되고 있습니다. 특히 스마트 시티를 구성하는 여러 시스템들을 보호하는 것이 커다란 과제로 남아 있지요. 신호등은 물론, 각종 조명, 난방, 에어콘, 엘리베이터, 자동문 등을 통제하는 장치들이 해킹 공격을 받으면 수많은 사람들이 위협이나 고통을 받을 수 있게 됩니다. 기본적인 디도스 공격만으로도 도시가 마비될 수 있는 구성이라고 볼 수 있습니다. 이걸 보강하는 게 지금 보안 업계의 과제가 아닐까 합니다.”

프로흘리흐는 “그럼에도 아직 많은 장비들이 보안을 염두에 두고 만들어지지 않고 있다”고 지적한다. “연결성과 편리함이 가장 우선시 되고 있죠. 그러다 보니 취약한 시스템들이 자꾸만 나오는 것이고요. 이번 신호등 연구에서도 볼 수 있었듯이 장비 제조사들은 전혀 새로운 책임감을 가지고 사업을 진행해야 합니다.”

3줄 요약
1. 오스트리아의 회사 스와코에서 만든 신호등 제어 장치에서 취약점 발견됨.
2. 디버깅을 위한 포트가 열려 있는, 치명적인 취약점이었음.
3. 스마트 시티가 도래하는 때, 기술 개발과 제조를 업으로 하는 이들은 새로운 책임감과 개념을 탑재해야 할 듯.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>