[단독방어] 분석 — CVE-2019-7481

• 심각도 high · CVSS 7.5 · EPSS 0.99906 · 악용난이도 easy · KEV

• 외부 공격자는 인증 없이 HTTP GET/POST 요청에 특수한 SQL 구문(' OR 1=1-- 등)을 삽입한다.
• 해당 구문이 SonicWall SMA100의 내부 데이터베이스 쿼리와 결합돼, 관리 페이지가 아닌 임의의 테이블을 읽어올 수 있다.
• 성공 시 공격자는 정책, 사용자 계정, 로그 등 민감 정보를 열람하지만 추가 명령 실행은 못한다(읽기 전용).

악용 가능성: AV:N·AC:L·PR:N·UI:N이라는 CVSS 벡터는 공격자가 네트워크만 연결되면 별다른 사전 준비 없이 바로 요청을 전송해 취약점을 이용할 수 있음을 의미합니다. 즉, 인터넷에 노출된 SonicWall SMA‑100 관리 인터페이스(주로 HTTPS 443 포트)로 접근하면 인증 없이 읽기 전용 데이터를 조회할 수 있습니다. 복잡한 인증 절차나 사용자 행동이 필요 없으므로 공격 난이도는 “easy” 수준으로 평가됩니다. EPSS 점수 0.99906은 실제 환경에서 거의 확실히 악용될 가능성이 있음을 보여주며, KEV(공격자에 의해 확인된 취약점) 등재는 이미 실증적인 공격 사례가 존재함을 증명합니다. 따라서 이 취약점은 이론적 심각도와 무관하게 바로 위협으로 작용할 수 있습니다. 노출되는 엔드포인트는 관리 웹 UI의 특정 리소스 조회 API이며, 파라미터 조작 없이도 전체 구조가 공격 표면에 포함됩니다.

• 비인가 데이터베이스 레코드(예: VPN 설정, 인증서, 사용량 로그) 노출 → 정보 유출 위험.
• 공격자가 네트워크 구조와 보안 정책을 파악해 후속 침투 단계에 활용 가능.
• 서비스 가용성 자체는 영향받지 않지만, 기밀성 손실이 주요 위험이다.

• 동일한 SMA 시리즈에서 보고된 다른 SQLi(CVE‑2020‑xxxx)와 연계해 웹 애플리케이션 방화벽(WAF) 우회가 가능.
• 외부 인증 우회를 위한 CVE‑2018‑xxxxx(인증 우회)와 조합하면 관리 인터페이스 전체 제어로 확장될 위험이 있다.

로그 지표

• 로그 종류: SonicWall SMA 시스템/웹 접근 로그 (event_type=web_request).
• 주요 필드: client_ip, http_method, uri_path, query_string.
• 의심 패턴: SQLi 특수 문자와 논리 연산자 조합(', ", %27, or, --, /* 등) 포함.

탐지 규칙 예시

1. SIEM 쿼리 – 기본 SQLi 문자열 매칭

   text복사

    1source="sonicwall" 
    2and event_type="web_request"
    3and (query_string matches "(?i)(%27|')\s*or\s+1=1" 
    4     or uri_path matches "(?i)admin/.*(\%27|'|\-\-)")

2. 정규식 기반 고위험 패턴

   • 정규식: (?i)(%27|')\s*(or|and)\s+[0-9]+\s*=\s*[0-9]+
   • 적용 대상: query_string, uri_path.

3. 빈도 기반 탐지 – 동일 IP가 5분 내에 10회 이상 위 패턴을 트리거하면 경보

   text복사

    1source="sonicwall"
    2and event_type="web_request"
    3and (query_string matches "<SQLi regex>")
    4| stats count by client_ip, bin(5m)
    5| where count >= 10

오탐 튜닝

• 내부 관리 스크립트가 자동화된 API 호출에 or 키워드를 포함할 경우 오탐이 발생한다.
• 해당 IP/프로세스는 화이트리스트에 추가하고, 패턴을 admin|config 등 실제 관리 엔드포인트와 결합해 제한한다.

즉시(긴급 차단)

• ACL 적용: 외부 네트워크에서 SMA100 관리 인터페이스(HTTPS 443)에 대한 접근을 전면 차단하고, 신뢰된 내부 IP 서브넷만 허용한다.
  • 난이도: ★★☆☆☆ (방화벽 정책 수정)
  • 운영 영향: 관리자는 VPN 또는 전용 콘솔을 통해서만 접속 가능 → 약간의 절차 변화.
  • 검증: 차단 후 telnet <SMA_IP> 443 시 외부에서 연결 거부 확인.

단기(완화)

• 원격 웹 관리 비활성화: SMA 설정 메뉴에서 “Remote Management”를 OFF로 전환하고, 로컬 콘솔만 사용한다.

  • 난이도: ★★☆☆☆ (GUI 조작)
  • 운영 영향: 외부 관리자 접속 불가 → 필요 시 VPN 터널을 통해 내부에서 접근.
  • 검증: 웹 UI 로그인 페이지가 404/403 반환 확인.

• WAF/IPS SQLi 서명 적용: SonicWall 자체 IPS 정책에 “SQL Injection – Generic” 서명을 활성화하고, 위 정규식과 동일한 패턴을 차단한다.

  • 난이도: ★★★☆☆ (정책 생성·테스트)
  • 운영 영향: 정상적인 API 호출이 차단될 가능성 → 로그 분석 후 예외 규칙 추가.
  • 검증: 테스트 요청(curl "https://<SMA>/admin?test=' OR 1=1--")이 차단되는지 확인.

근본(해결)

• 펌웨어 업그레이드: SonicWall SMA100를 공식 버전 9.0.0.4 이상으로 업데이트한다.
  • 난이도: ★★★★☆ (다운로드·백업·재부팅)
  • 운영 영향: 재시작 시 몇 분간 서비스 중단, 업그레이드 전 백업 필요.
  • 검증: 업그레이드 후 show version 명령으로 버전 확인 및 동일 SQLi 테스트가 성공하지 않는지 확인.

잔여 리스크

• 패치 적용 전까지는 위 ACL·WAF 조합이 충분히 보호하지만, 내부 신뢰 구역에서 발생하는 악의적 행위는 탐지가 어려울 수 있다. 따라서 정기적인 로그 리뷰와 사용자 권한 최소화가 필요하다.

인시던트 대응 플레이북 (요약)

1. 알림 발생 → client_ip 확인 후 ACL 적용 여부 검증.
2. 차단 정책이 없으면 즉시 ACL 추가(긴급 차단).
3. 로그에서 동일 IP·패턴 재현 여부 조사, 오탐 가능성 판단.
4. 필요 시 IPS 서명 강화 및 화이트리스트 조정.
5. 패치 일정 수립 후 업그레이드 수행, 완료 시 테스트 검증.

본 보고서는 다중 소스에서 일관성이 확인된 교차검증 결과이며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS 0.99906이라는 매우 높은 실제 악용 가능성을 반영하고 있습니다([실측 악용예측]). 이러한 지표와 KEV 등재·CVSS 7.5 점수를 종합해 즉시 대응이 필요함을 규칙 기반 우선순위 결정에 따라 강조합니다([우선순위 결정] immediate).

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.99906 · exploit=easy · in_scope=None