[단독분석] 분석 — CVE-2021-20038

• 심각도 critical · CVSS 9.8 · EPSS 0.99899 · 악용난이도 easy · KEV

• 원격 공격자는 HTTP 요청의 CGI 환경 변수에 과도하게 긴 값을 삽입해 mod_cgi 모듈에서 스택 기반 버퍼 오버플로우를 유발한다.
• 오버플로우가 발생하면 ‘nobody’ 계정 권한으로 임의 코드를 실행할 수 있다.
• 인증 없이 네트워크 전면에서 직접 공격이 가능하므로 초기 접근 단계가 필요 없으며, 성공 시 즉시 시스템 제어가 획득된다.

악용 가능성: AV가 Network이므로 공격자는 인터넷을 통해 직접 대상 SMA‑100 시리즈 장비에 접근할 수 있습니다. AC가 Low이고 PR이 None이며 UI가 None인 점은 인증·사용자 상호작용 없이도 즉시 악용이 가능함을 의미하므로, 공격 난이도는 “easy”로 평가됩니다. EPSS 0.99899라는 매우 높은 실측 확률과 KEV에 등재된 사실은 이미 야생 환경에서 이 취약점이 실제로 이용되고 있음을 강력히 뒷받침합니다. 공격자는 HTTP 요청의 CGI 엔드포인트에 조작된 파라미터를 포함시켜, mod_cgi 모듈이 환경 변수로 전달하는 문자열을 오버플로우 시킴으로써 스택 기반 버퍼 오버플로우를 유발할 수 있습니다. 해당 엔드포인트와 파라미터는 기본 HTTP 서비스(80/443)에서 외부에 노출되므로, 별도의 방화벽 차단 없이도 네트워크 수준에서 접근이 가능합니다. 성공 시 공격 코드는 ‘nobody’ 사용자 권한으로 실행되어 장비 내부의 제한된 기능을 우회하거나 추가 악성 행위를 수행할 수 있습니다.

• 기술적 위험
  • 원격 코드 실행 → 전체 장비 장악·명령 수행.
  • ‘nobody’ 사용자 권한이지만, 추가 권한 상승(예: 루트) 가능성 존재.
  • 기밀 데이터(메일, 로그 등) 탈취 및 변조, 서비스 중단(DoS) 위험.
• 비즈니스 리스크
  • 이메일 보안·스팸 차단 기능 마비 → 기업 통신 차단 및 스피어 피싱 증가.
  • 규제·컴플라이언스 위반 가능성(PCI‑DSS, HIPAA 등) – 데이터 유출 시 법적 책임 발생.
  • 브랜드 신뢰도 저하 및 SLA 위반으로 인한 손실.
• 영향 제품·노출 규모
  • 다중 모델(SMA 200/210/400/410/500v)과 8개의 펌웨어 버전에 적용돼, 전 세계 수십만 대 이상의 장비가 잠재적 대상이다.
  • 동일 라이브러리를 공유하는 공급망 특성으로 인해 파생 제품에도 연쇄 위험이 존재한다(교차검증: 다중 소스에서 일관성이 확인됨).

• 추정: 이와 유사한 CWE‑119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) 유형의 Apache httpd 모듈 버그가 다른 웹 서버에서도 보고된 바 있다.
• 추정: 장비 내부에 존재할 수 있는 CWE‑269 (Improper Privilege Management) 취약점과 결합하면 ‘nobody’ 계정에서 루트 권한 획득이 가능하다.

• IDS/IPS 로그에 비정상적으로 긴 ENV 헤더 또는 CGI 파라미터가 포함된 HTTP 요청 패턴을 감시한다.
• Apache httpd 오류 로그(mod_cgi crash) 및 시스템 로그에서 ‘nobody’ 사용자의 급작스러운 프로세스 생성·비정상 실행 파일 호출을 모니터링한다.
• 네트워크 트래픽 분석 시 비표준 포트(예: 443 외)의 HTTP GET/POST 요청이 내부 SMA 관리 인터페이스로 향하는지를 확인한다.

• 즉시 조치
  • 외부에서 SMA 관리 UI 접근을 차단하고, 허용 IP를 최소화한다.
  • 가능하면 mod_cgi 모듈을 비활성화하거나 CGI 기능을 전면 차단한다.
  • 웹 애플리케이션 방화벽(WAF) 규칙으로 과도한 길이의 환경 변수 값을 필터링한다.
• 근본 해결
  • SonicWall에서 제공하는 최신 펌웨어(취약점이 패치된 버전)로 즉시 업데이트한다.
  • 패치 적용 전후에 기능 정상 여부와 로그 변동을 검증한다.
  • 장기적으로는 취약한 모델 교체·업그레이드 계획을 수립하고, 정기적인 펌웨어 점검 프로세스를 도입한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99899 · exploit=easy · in_scope=None