[분석가] 분석 — CVE-2022-20701

• 심각도 critical · CVSS 10.0 · EPSS 0.09747 · 악용난이도 easy · KEV

• 인터넷에서 인증 없이 라우터 관리 인터페이스(SSH/HTTPS)로 접근 → 메모리 손상(Memory‑Corruption) 트리거
• 악용 시 시스템 쉘을 획득하고 임의 코드를 실행하여 라우터를 완전 장악
• 확보한 쉘을 이용해 VPN 터널을 통해 사내 주소대역으로 패킷을 전달, 내부 서비스에 직접 접근 가능
• 특권 상승(LPE) 후 OS 명령 실행·특권 계정 토큰 조작 등으로 도메인 컨트롤러·핵심 서버까지 침투 가능

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 원격 네트워크만으로 접근 가능하고 공격 복잡도가 낮으며 권한이 전혀 필요 없고 사용자 개입 없이 자동 실행될 수 있음을 의미합니다. 따라서 인터넷에 노출된 라우터 관리 인터페이스(HTTP/HTTPS 80·443 포트 등)만 존재하면 공격자가 바로 시도할 수 있습니다. EPSS 0.09747은 향후 12개월 내 실제 악용 확률이 약 9.7%임을 나타내며, KEV에 등재된 점은 이미 실

• 기술적 위험
  • 라우터 완전 장악 → 인증 우회, 임의 코드 실행, unsigned 소프트웨어 다운로드·실행, 서비스 거부(DoS)
  • VPN 터널을 통한 내부망 횡적 이동 → 사내 시스템 침투 및 데이터 유출
• 비즈니스 위험
  • 라우터 장애 또는 악용 시 WAN/Internet 연결 차단 → 가용성 심각 저하
  • 내부 네트워크 침해에 따른 규제 위반(PCI‑DSS, GDPR 등) 및 신뢰 손실
• 노출 규모
  • 영향을 받는 제품: RV340, RV340W, RV345, RV345P 8종 (펌웨어 < 1.0.03.24)
  • 다중 소스에서 일관성이 확인된(교차검증) 점을 고려하면 중소기업·지사 네트워크 전반에 광범위하게 배포된 경우가 많음

• 동일 시리즈 라우터에 존재하는 인증 우회(CWE‑287 등)와 결합될 경우 초기 쉘 확보 후 권한 상승 경로가 단축됨
• 메모리 손상 기반 RCE와 unsigned 펌웨어 배포 공격을 연계하면 공급망 체이닝 위험이 증가함

• 라우터 관리 포트(SSH/HTTPS)에서 비정상적인 원격 IP·시간대의 접속 시도 로그
• 펌웨어 무결성 검사 실패, 예상치 못한 프로세스 메모리 로드 이벤트
• IDS/IPS에서 “Cisco RV34x Remote Code Execution” 또는 “CVE-2022-20701” 문자열 포함 알림
• VPN 터널 내부에서 라우터 IP를 출발지로 하는 비정상 트래픽 감시

• 즉시 조치
  • Cisco 공식 펌웨어 1.0.03.24 이상으로 모든 영향을 받는 RV340/RV345 시리즈에 즉시 적용(KEV 등재·CVSS 10·EPSS 0.09747 → ‘immediate’ 우선순위)
  • 패치 전후 서비스 가용성 검증을 위해 단계적 롤아웃 및 백업/복구 플랜 수립
• 네트워크 방어
  • 관리 평면과 데이터 평면을 물리·논리적으로 분리하고, 외부에서 직접 접근 가능한 관리 인터페이스를 IP‑ACL 또는 전용 관리 VLAN으로 차단
  • VPN 터널 내부 트래픽에 세분화된 ACL 적용·Zero‑Trust 원칙 도입
• 호스트/모니터링
  • 특권 계정 토큰 조작 방지를 위해 OS 수준 no_new_privileges·seccomp 정책 적용
  • 라우터 로그와 VPN 흐름을 실시간 SIEM에 수집·분석, 의심스러운 명령 실행 시 알림 생성
• 장기 개선
  • BCP 관점에서 라우터 장애 시 이중화 경로 및 대체 회선 설계 검토
  • 관리 플레인 접근을 전용 VLAN으로 격리하고 MFA 등 추가 인증 계층 도입

우선순위 판단 근거: CVSS 10.0, KEV 등재, EPSS 0.09747(실제 악용 가능성 약 9.7% 수준) 및 exploit 난이도 easy가 결합돼 규칙 기반 “immediate” 대응으로 결정되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.09747 · exploit=easy · in_scope=None