[분석가] 분석 — CVE-2022-20703

• 심각도 critical · CVSS 10.0 · EPSS 0.09203 · 악용난이도 easy · KEV

• 공격자는 라우터의 관리 인터페이스(HTTPS 웹 GUI, SSH, REST API 등)에 직접 접근할 수 있는 네트워크 경로가 있을 경우, 특수하게 조작된 패킷·HTTP 요청을 전송합니다.
• 메모리 손상이 발생하면 임의 코드 실행, 권한 상승, 인증 우회 및 서명되지 않은 펌웨어 다운로드·실행이 가능해집니다.
• CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 사전 인증이나 사용자 조작 없이 원격에서 바로 악용될 수 있습니다(다중 소스 일관성 확인([교차검증])).
• 추정: 관리 인터페이스가 외부에 노출되지 않은 경우, 내부 시스템을 통해 SSRF 등으로 우회 접근이 필요할 수 있습니다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는(AV:N) 라우터 관리 인터페이스가 공격 대상이며, 복잡한 사전 준비 없이도(AC:L) 원격에서 바로 시도할 수 있습니다. 공격자는 별도의 권한(PR:N)이나 사용자의 동작(UI:N)이 필요 없으므로, 인터넷에 노출된 관리 포트만 열려 있으면 즉시 악용이 가능합니다. EPSS 0.09203이라는 값은 향후 12개월 내에 약 9 % 수준의 실제 공격이 발생할 가능성을 나타내며, KEV에 등재돼 있다는 점은 이미 야생에서 활용된 사례가 확인되었음을 의미합니다. 주요 공격 표면은 Cisco Small Business RV160/260/340/345 시리즈 라우터의 웹 관리 UI(HTTP/HTTPS 80·443)와 해당 UI가 처리하는 설정 파라미터, API 엔드포인트 등입니다. 이러한 엔드포인트는 기본적으로 외부 네트워크에 노출될 경우 인증 우회·명령 실행·코드 삽입이 가능한 경로가 됩니다. 따라서 공격 난이도는 “easy” 수준이며, 실제 위협으로 간주되는 이유는 KEV 등록과 EPSS 수치가 모두 실증된 악용 가능성을 보여주기 때문입니다.

• 기술적 위험

  • 라우터 전체 장악 → 내부 네트워크에 대한 횡적 이동(Lateral Movement) 가능.
  • 인증 및 권한 우회 → 관리 계정 탈취·구성 변경, VPN/방화벽 정책 무력화.
  • 서명되지 않은 소프트웨어 실행 → 추가 악성 페이로드 전파 채널 확보.
  • 서비스 거부(DoS) → 인터넷·내부망 연결 차단으로 업무 연속성 위협.

• 비즈니스 리스크

  • 가용성 손실: 라우터 장애 시 네트워크 접속이 중단되어 업무에 직접적인 영향 발생.
  • 규제·컴플라이언스 위반 위험: PCI‑DSS, HIPAA 등 외부와 통신을 담당하는 장비가 침해될 경우 법적·규제적 제재 가능.
  • 신뢰도 하락: 보안 사고 공개 시 고객 및 파트너에게 이미지 손상 초래.

• 영향 제품·노출 규모

  • 영향을 받는 펌웨어 버전은 cisco rv340_firmware, rv340w_firmware, rv345_firmware, rv345p_firmware 각 < 1.0.03.24이며, 총 8개의 라우터 모델에 적용됩니다.
  • 다수 제품이 동일 펌웨어를 사용하고 있는 경우 조직 전체에 광범위한 노출 위험이 존재합니다([품질 신호]).

• 악용 가능성

  • EPSS 0.09203(백분위 0.94821)로 실제 악용 확률이 매우 높으며, KEV 등재와 exploit 난이도 easy가 결합되어 위험도가 최고 수준임을 나타냅니다([실측 악용예측]).

• 우선순위

  • CVSS 10.0·KEV·EPSS 0.09203·exploit easy에 기반해 즉시(24시간 이내) 대응이 요구됩니다([우선순위 결정]).

• 동일 RV 시리즈에서 보고된 다른 메모리‑손상 취약점과 연계될 경우, 초기 접근 후 추가 권한 상승 및 지속적 악성코드 설치가 용이해집니다.
• 내부 침투 이후 이 취약점을 이용해 관리 인터페이스를 우회하면, 라우터를 거점으로 다른 내부 서비스(VPN, IDS 등)로 확장할 수 있습니다.

• 관리 포트(HTTPS 443, SSH 22)에서 비정상적인 패킷 길이·형식 또는 급격한 연결 재시도 시 경보 생성.
• 라우터 로그에 “Process crash”, “Authentication bypass”, “Unsigned firmware download”와 같은 이벤트가 기록되면 알림.
• IDS/IPS 서명 예시: alert tcp $EXTERNAL_NET any -> $HOME_NET 443 (msg:"CVE-2022-20703 exploit attempt"; flow:to_server,established; content:"|90 90 90|"; depth:3; classtype:attempted-admin; sid:20220703;)와 유사한 규칙을 적용합니다([탐지]).

• 즉시 조치

  • 영향을 받는 모든 RV340/345 시리즈 라우터를 네트워크에서 격리하고, 관리 인터페이스에 대한 인바운드 접근을 차단합니다.
  • 관리 트래픽을 내부 VLAN으로 제한하고, VPN + MFA 기반 인증을 적용해 외부 직접 접속을 방지합니다.

• 근본 해결

  • Cisco에서 제공하는 펌웨어 1.0.03.24 이상의 최신 버전으로 즉시 업데이트합니다.
  • 패치 전후에 시스템 무결성 검증 및 로그 모니터링을 강화하여 재발 여부를 확인합니다.

• 추가 권고

  • 정기적인 펌웨어 인벤토리 점검과 자동 업데이트 정책 수립, 취약점 스캐너를 활용한 사전 탐지를 구현하십시오.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.09203 · exploit=easy · in_scope=None