[방어] 분석 — CVE-2019-7483

• 심각도 high · CVSS 7.5 · EPSS 0.03977 · 악용난이도 easy · KEV

• 인증이 필요 없는 GET 요청으로 /cgi-bin/handleWAFRedirect.cgi에 ../ 경로 문자열을 포함시켜 파일 존재 여부를 확인한다.
• 서버는 요청된 파일이 존재하면 정상 응답(예: 200) 또는 파일 내용 일부를 반환하고, 없으면 404/500 등을 반환한다.
• 공격 단계: (1) 대상 SMA 100의 관리 인터페이스에 접근 → (2) 조작된 query string 전송 → (3) 응답 분석으로 /etc/passwd, config.xml 등 민감 파일 존재 여부를 판단한다.

악용 가능성: 이 취약점은 AV:N(네트워크를 통해 원격 접근 가능)·AC:L(공격 복잡도 낮음)·PR:N(인증 필요 없음)·UI:N(사용자 개입 없이 실행)이라는 CVSS 벡터가 그대로 실제 공격 전제조건을 반영합니다. 즉, 인터넷에 노출된 SonicWall SMA100 장비의 handleWAFRedirect CGI 경로만 알면 별도의 인증이나 피싱 없이 바로 탐색 요청을 보낼 수 있습니다. EPSS 값이 0.03977이라는 것은 향후 12개월 내에 약 4 % 정도의 확률로 실제 악용이 발생할 가능성을 의미하며, KEV(악용 확인된 취약점) 등재는 이미 공격자들이 이 경로를 이용한 사례가 존재함을 입증합니다. 트리거 조건은 단순히 파일 존재 여부를 확인하는 GET/POST 파라미터 조작이며, 별도의 권한 상승 단계 없이 바로 결과를 반환받습니다. 노출되는 공격 표면은 HTTP(S) 서비스의 /cgi-bin/handleWAFRedirect 엔드포인트와 해당 파라미터(예: url= 또는 유사 변수)로, 방화벽 외부에서 직접 접근이 가능한 경우 전파가 쉽습니다. 따라서 공격자는 네트워크 스캔 후 이 CGI를 호출해 디렉터리 트래버설을 시도함으로써 파일 존재 여부를 확인하고, 추가 악용 단계(예: 정보 수집, 원격 코드 실행)로 이어질 가능성이 높아집니다.

• 임의 파일 읽기(Information Disclosure)로 인해 시스템 설정, 인증서, 관리자 비밀번호 등이 유출될 수 있다.
• 파일 열람 결과를 기반으로 추가적인 인증 우회·원격 코드 실행(RCE) 공격을 설계할 수 있는 발판이 된다.
• CVSS 7.5/High 수준이며 Confidentiality (C)만 영향을 받으나, 실제 위험도는 EPSS 0.03977(실제 악용 가능성)와 KEV 등재에 따라 즉시 대응 필요하다.

• 동일 제품군에서 보고된 인증 우회(CVE‑2020‑XXXXX) 및 RCE(CVE‑2021‑XXXXX)와 결합 시, 파일 내용(예: /etc/shadow)을 이용해 크리덴셜 탈취 후 권한 상승이 가능하다.
• 다른 SonicWall 장비에서 발견된 Path‑Traversal 패턴(*/download?file=../*)과 동일한 방어 원칙을 적용하면 연쇄 공격 차단에 도움이 된다.

로그 지표

• 웹/프록시 접근 로그(예: sma_access.log)의 uri_path가 /cgi-bin/handleWAFRedirect.cgi이고, uri_query에 ../ 문자열이 포함된 항목.
• 응답 코드 200·404·500 중 비정상적인 연속 패턴(특히 동일 IP에서 짧은 시간 내 다수 발생).

SIEM 탐지 규칙 예시

1. Splunk 쿼리
   text복사

    1index=web sourcetype="sma_access"
    2uri_path="/cgi-bin/handleWAFRedirect.cgi"
    3| regex uri_query="(\.\./)+"
    4| stats count by src_ip, _time span=5m
    5| where count > 5

2. Elastic SIEM Rule (KQL)
   text복사

    1event.dataset:"sma.access" and 
    2http.request.uri.path:"/cgi-bin/handleWAFRedirect.cgi" and 
    3regexp(http.request.uri.query, "(\.\./)+")

3. 정규식 기반 IDS (Snort 예시)
   bash복사

    1alert tcp $EXTERNAL_NET any -> $HOME_NET 80 (msg:"SonicWall SMA Directory Traversal"; flow:to_server,established; http_uri; content:"/cgi-bin/handleWAFRedirect.cgi"; nocase; pcre:"/(\.\.\/)+/i"; classtype:web-application-attack; sid:1000001;)

오탐 튜닝

• 내부 관리 도구가 정기적으로 ../ 경로를 이용해 로그 파일을 회전하는 경우 제외(not src_ip=10.0.0.0/8).
• 허용된 백업 스크립트가 동일 CGI를 사용한다면, 해당 User-Agent 또는 인증 토큰 기반 화이트리스트 규칙을 추가한다.

즉시(긴급 차단)

• 방화벽 ACL 혹은 SMA 100 관리 인터페이스 설정에서 /cgi-bin/handleWAFRedirect.cgi URL을 차단한다.
  • 난이도: 낮음 (CLI 또는 GUI에서 한 줄 규칙 추가)
  • 운영 영향: 해당 CGI를 사용하는 정상 기능(예: WAF 리다이렉트)이 즉시 중단되지만, 관리 목적 외 사용은 거의 없으며 서비스 가용성에 큰 영향을 주지 않음.
  • 검증: 차단 후 동일 요청을 시도했을 때 403 Forbidden 또는 연결 거부가 로그에 기록되는지 확인.

단기(완화)

• IP 제한: 관리 인터페이스 접근을 사내 IP 대역만 허용하도록 설정한다.
  • 난이도: 중간 (네트워크 정책 수정 필요)
  • 운영 영향: 원격 관리가 제한되므로 VPN 등 안전한 터널 사용이 요구됨.
  • 검증: 허용된 IP에서만 로그인 가능 여부 확인.
• URL 필터링: 웹 애플리케이션 방화벽(WAF) 정책에 ../ 문자열을 포함하는 GET/POST 파라미터를 차단한다.
  • 난이도: 중간 (WAF 규칙 추가)
  • 운영 영향: 정상적인 파일 다운로드 기능이 있다면 오탐 가능성 존재, 테스트 후 적용.
  • 검증: 차단 규칙 적용 후 정상 트래픽과 악의적 요청을 각각 시뮬레이션해 로그를 비교.

근본(해결)

• 펌웨어 업데이트: SonicWall 공식 패치 버전 9.0.0.4 이상으로 업그레이드한다.
  • 난이도: 높음 (시스템 다운타임, 백업·복구 절차 필요)
  • 운영 영향: 서비스 재시작 및 잠재적 설정 변경; 사전 테스트 환경에서 검증 권고.
  • 검증: 업그레이드 후 동일 취약점 탐지 쿼리(../ 포함 요청)에 대해 404 Not Found` 혹은 정상 동작이 없음을 확인.

잔여 리스크

• 패치 적용 전까지는 위 즉시·단기 조치를 유지해야 하며, URL 차단 정책의 오탐으로 인한 서비스 제한을 지속적으로 모니터링한다.
• 패치 후에도 로그 기반 탐지는 남아 있어,

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.03977 · exploit=easy · in_scope=None