[단독방어] 분석 — CVE-2021-20016

• 심각도 critical · CVSS 9.8 · EPSS 0.36952 · 악용난이도 easy · KEV

SonicWall SSLVPN SMA(100/200/210/400) 제품의 웹 관리 페이지에서 입력값 검증이 부족하여, 공격자는 특수문자와 논리 연산자를 포함한 SQL 구문(' OR 1=1--)을 파라미터에 삽입합니다. 서버는 이를 그대로 데이터베이스 쿼리로 실행해 인증 우회·세션 정보(사용자명·비밀번호)를 추출할 수 있습니다. 네트워크 경계에서 차단되지 않은 경우, 원격 IP가 직접 HTTP POST/GET 요청만으로 악용이 가능하므로 초기 침투 단계와 데이터 탈취 단계가 동일합니다.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한 SSL‑VPN 웹 포털(AV:N)에서 공격이 이루어지며, 복잡한 사전 준비 없이 간단한 HTTP 요청만으로 악용할 수 있어 공격 복잡도 AC:L이 낮습니다. 인증이 전혀 필요하지 않으므로 공격자는 별도의 계정이나 권한을 획득할 필요가 없으며(PR:N), 사용자 개입(UI:N) 역시 요구되지 않아 자동화된 스크립트로도 손쉽게 시도할 수 있습니다. EPSS 0.36952라는 높은 실측 확률은 현재 전 세계에서 약 37% 수준의 성공 가능성을 보이며, 실제 악용 사례가 보고된 KEV(악용 확인) 목록에 등재돼 있어 이론적 심각도가 아닌 현실적인 위협임을 입증합니다. 공격자는 주로 SSL‑VPN 로그인 페이지의 username·password 파라미터와 같은 입력 필드에 특수한 SQL 구문을 삽입하여 데이터베이스를 조작하고, 인증 정보 및 세션 토큰을 추출합니다. 해당 엔드포인트는 외부 인터넷에 노출된 서비스이므로 방화벽이나 접근 제어 정책으로 차단되지 않을 경우 누구든지 접근 가능하며, 파라미터 검증이 부실한 모든 HTTP POST/GET 요청이 공격 표면에 포함됩니다. 따라서 이 취약점은 원격·무인 (unauthenticated) SQL‑Injection 공격이 가능한 “easy” 등급으로, 실제 악용 위험성이 매우 높다고 판단할 수 있습니다.

• 인증 우회: 관리자 계정 및 일반 사용자 계정의 로그인 절차를 무시하고 세션을 획득합니다.
• 민감 정보 노출: username, password_hash, session_token 등 DB에 저장된 자격 증명이 외부로 유출됩니다.
• 추가 권한 상승: 탈취한 관리자 세션으로 VPN 설정, 정책 및 내부 네트워크 트래픽을 조작할 수 있습니다.

SQL‑Injection 유형(CWE‑89)이며, 동일 제품군에서 과거에 보고된 인증 우회(CVE‑2020‑xxxx)와 결합될 경우 초기 접근 후 권한 상승 단계가 단축됩니다. 현재 확인된 다른 CVE 번호는 없으나, 웹 애플리케이션 방화벽(예: ModSecurity)의 일반 SQLi 규칙과 연계해 차단할 수 있습니다.

• 로그 지표

  • sma_access.log(Web UI 접근 로그) → request_method, uri, query_string, client_ip 필드.
  • sma_event.log(시스템 이벤트) → event_id=SQL_INJECTION_ATTEMPT, severity=high.

• SIEM 탐지 규칙 예시

  1. 정규식 기반 탐지 (URI/쿼리 파라미터)

 1source: sma_access.log
 2where uri matches "/admin|/login"
 3  and query_string matches "(?i)(%27|\')\s*or\s+[\d=]+(--)?"

1. 패턴 기반 탐지 (POST 바디)

 1source: sma_access.log
 2where request_method = "POST"
 3  and body contains "' OR" 
 4  and body matches "(?i)1\s*=\s*1|true--"

1. 이벤트 연계 탐지

 1source: sma_event.log
 2where event_id = "SQL_INJECTION_ATTEMPT"
 3  and severity = "high"
 4  and client_ip in recent(5m)

• 오탐 튜닝
  • 정상적인 검색 기능에서 ' 가 포함된 쿼리가 발생할 경우, user_agent가 “SonicWall‑Admin‑Tool”인 요청은 제외.
  • 내부 관리 스크립트(예: 자동 백업)에서 사용되는 파라미터는 사전 정의된 IP 범위(10.0.0.0/8)에 한해 허용.

• 즉시(긴급 차단)
  • 조치: SMA 웹 관리 인터페이스(/admin, /login)에 대한 외부 접근을 차단하는 ACL을 적용합니다.

 1deny tcp any <SMA_IP> eq 443 uri "/admin"
 2deny tcp any <SMA_IP> eq 443 uri "/login"
 3allow tcp <trusted_subnet> <SMA_IP> eq 443

• 난이도: 낮음 – 방화벽 UI에서 몇 줄의 ACL만 추가하면 적용 가능.

• 운영 영향: 외부 관리자가 없는 경우 서비스 중단 없음; 내부 관리자에게는 VPN을 통한 전용 관리망 사용을 요구합니다.

• 검증: 차단 후 curl https://<SMA_IP>/admin 요청이 403 Forbidden 혹은 연결 거부(TCP RST) 응답을 반환하는지 확인.

• 단기(완화)

  • 입력 검증 강화: SMA 관리 페이지에서 제공되는 “Web Application Firewall (WAF)” 옵션을 활성화하고, 사전 정의된 SQLi 방어 규칙 세트를 적용합니다.

    • 구현 난이도: 중간 – WAF 정책 생성 및 적용에 몇 시간이 소요될 수 있음.
    • 운영 영향: 일부 정상적인 쿼리(예: 복합 검색)에서 오탐 가능성 → 로그를 모니터링하며 규칙을 조정.
    • 검증 방법: 테스트 계정으로 의도적 SQLi 문자열을 전송했을 때 차단 이벤트(event_id=SQL_INJECTION_ATTEMPT)가 발생하는지 확인.

  • 관리자 접근 제한: 관리 인터페이스를 전용 VLAN 또는 전용 VPN(예: 별도 IPSec 터널)으로 이동하고, 해당 네트워크에서만 접속을 허용합니다.

    • 난이도: 중간 – 네트워크 설계 변경 필요.
    • 운영 영향: 기존 관리자 IP가 새 경로를 사용하도록 재구성해야 함.
    • 검증: 새로운 VLAN/VPN에서만 로그인 성공 여부 확인.

• 근본(해결)

  • 패치 적용: SonicWall 공식 펌웨어 버전 10.2.0.5-d-29sv 이상으로 업그레이드합니다. 해당 버전은 CVE-2021-20016에 대한 입력 검증 로직을 포함하고 있습니다.
    • 난이도: 높음 – 장비 재부팅 및 서비스 중단(예정 다운타임) 필요.
    • 운영 영향: 펌웨어 업그레이드 시 일시적 VPN 서비스 불가; 사전 백업 및 롤백 플랜 준비 권고.
    • 검증 방법: 업그레이드 후 동일 파라미터로 테스트 공격을 수행했을 때 오류(SQL syntax error)가 반환되는지 확인.

• 잔여 리스크

  • 패치 적용 전까지는 위 즉시 차단과 WAF 강화를 병행해야 하며, 내부 네트워크에서 발생할 수 있는 동일 유형의 SQLi 시도에 대비해 지속적인 로그 분석이 필요합니다.

• 인시던트 대응 플레이북 (요약)

  1. 알림 발생 → SQL_INJECTION_ATTEMPT 이벤트 확인.
  2. 공격 IP를 차단(ACL 즉시 적용).
  3. 해당 세션 쿠키·토큰을 강제 만료하고, 모든 관리자 비밀번호를 재설정.
  4. 로그 전후 24시간 동안 동일 패턴 반복 여부 조사.
  5. 패치 일정 수립 후 펌웨어 업데이트 수행.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.36952 · exploit=easy · in_scope=None