[단독방어] 분석 — CVE-2025-40602

• 심각도 medium · CVSS 6.6 · EPSS 0.01944 · 악용난이도 easy · KEV

SonicWall SMA1000/2000/6210 시리즈의 관리 콘솔(AMC)에 로컬 사용자가 인증 없이 권한 상승을 시도할 수 있습니다. 공격자는 관리자 계정이 아닌 상태에서 AMC UI 혹은 CLI에 접근해 특수 요청을 전송하면, 내부 권한 검증 절차가 누락돼 루트 권한을 획득합니다. EPSS 0.01944와 “easy” 등급으로 판단되어 원격 네트워크를 통해 직접적인 공격이 가능하나, 프리미티브 인증(프리셰어드 키)만 있으면 실행됩니다.

악용 가능성: 이 취약점은 AV = N(네트워크를 통해 접근 가능)으로, 공격자는 SonicWall SMA1000 관리 콘솔에 직접 연결할 수 있는 엔드포인트(IP/HTTPS 포트)를 확보해야 합니다. AC = H(난이도 높음)는 권한 검증 로직이 복잡하게 구현돼 있어, 정상적인 관리자 계정 없이 임의의 명령을 실행하려면 인증된 세션을 탈취하거나 사전 취득한 자격 증명이 필요함을 의미합니다. PR = H(높은 권한 요구)와 UI = N(사용자 개입 없음)은 공격자가 이미 관리권한이 있는 계정을 보유하고 있을 경우, 별도의 피싱이나 클릭 유도 없이 바로 특수 파라미터를 전송해 로컬 권한 상승을 수행할 수 있음을 나타냅니다. KEV 리스트에 등재되어 실제 악용 사례가 보고된 점은 이론적 위험이 아닌 현장에서 이미 활용되고 있다는 강력한 증거이며, EPSS = 0.01944(1.

권한 상승에 성공하면 다음과 같은 위험이 발생합니다.

• 시스템 전체 설정 변경·펌웨어 다운그레이드·네트워크 트래픽 차단 등 전역 제어 권한 확보
• 기업 내부망으로의 무단 접근 및 데이터 탈취
• 악성 코드 배포·추가 취약점 체이닝을 통한 장기 지속 침해

본 취약점은 인증 우회(Authorization Bypass)와 권한 상승(Privilege Escalation) 패턴(CWE‑287, CWE‑269)을 이용합니다. 동일 시리즈 펌웨어에 존재하는 CVE‑2024‑XXXXX(관리 콘솔 세션 고정)와 결합될 경우, 공격자는 지속적인 관리자 세션을 유지하면서 추가 명령 실행이 가능해집니다.

• 로그 지표

  • AMC_access.log : 로그인 성공/실패(user, result) 및 요청 URI(request_path).
  • system_audit.log : 권한 변경 이벤트(event_type=privilege_change, src_ip).
  • process_monitor.log : 비정상적인 CLI 명령 실행 (cmd_executed) 기록.

• SIEM 탐지 규칙 예시

  1. 비관리자 계정의 관리자 UI 접근

 1source="sma_amc" event_type="login_attempt"
 2| where result="success" and user_role!="admin"
 3| stats count by src_ip, user
 4| where count > 0

 1 *오탐 튜닝*: 정상 운영팀이 비관리자 계정으로 UI에 접근하는 경우 `src_ip`가 사내 관리 서브넷(10.0.0.0/8)인 경우만 허용.  

2. 권한 상승 시도 패턴

 1source="sma_amc" request_path="/admin/*"
 2| where user_role!="admin"
 3| stats count by src_ip, request_path
 4| where count >= 3

 1 *오탐 튜닝*: 정기적인 자동화 스크립트가 발생시키는 요청은 `user_agent`에 “SonicWall‑HealthCheck” 문자열이 포함된 경우 제외.  

3. 비정상적인 CLI 명령 실행

 1source="sma_cli" cmd_executed=*
 2| where user_role!="admin"
 3| regex cmd_executed="(?i)^(reboot|upgrade|config\ import)"
 4| stats count by src_ip, cmd_executed

 1 *오탐 튜닝*: 테스트 환경에서만 허용되는 `src_ip`를 화이트리스트에 추가.  

• 오탐 시나리오와 튜닝
  • 관리팀이 임시 계정으로 UI에 접근하는 경우 → 사전 승인된 IP/시간대 기반 예외 규칙 적용.
  • 자동화 모니터링 툴이 관리자 API를 호출할 때 → User-Agent 필드로 식별 후 허용 리스트에 추가.

1. 관리자 계정 강제 MFA

   • SonicWall SMA UI에서 LDAP/Radius 기반 2단계 인증을 활성화합니다.
   • 난이도: ★★★ (인증 서버 연동 설정 필요)
   • 영향: 로그인 절차 추가 → 약간의 지연 발생
   • 검증: MFA 적용 후 관리자 계정 로그인 성공 여부 로그(auth_success) 확인

2. 기본/불필요한 로컬 계정 비활성화

   • admin 외에 존재하는 로컬 사용자 계정을 모두 잠그고, 필요 시 별도 권한 관리 정책을 적용합니다.
   • 난이도: ★★ (CLI 명령 실행)
   • 영향: 기존 자동 스크립트가 실패할 수 있음 → 사전 검증 필요
   • 검증: user_list 명령으로 활성 계정 확인

3. 로그 수준 상향

   • AMC 로그 레벨을 DEBUG 로 전환해 모든 인증·권한 변경 시도를 상세히 기록합니다.
   • 난이도: ★ (설정 파일 편집)
   • 영향: 로그 용량 증가 → 저장소 모니터링 필요
   • 검증: 신규 로그에 request_path, user_role 필드가 포함되는지 확인

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=6.6 · KEV · EPSS=0.01944 · exploit=easy · in_scope=None