[단독분석] 분석 — CVE-2025-40602

• 심각도 medium · CVSS 6.6 · EPSS 0.01944 · 악용난이도 easy · KEV

• 공격자는 네트워크를 통해 관리 콘솔(AMC)에 접근한 뒤, 인증 검증이 부실한 API / 명령을 호출합니다.
• 기존에 낮은 권한(또는 제한된 계정)만 보유한 상태에서 관리자 권한으로 승격됩니다.

악용 가능성: 이 취약점은 네트워크를 통해 접근 가능하지만(AV = N), 공격을 성공시키려면 관리 콘솔에 이미 높은 권한(PR = H)의 계정이 필요하므로 복잡도는 높게 평가됩니다(AC = H). 따라서 일반 사용자가 임의로 악용하기는 어렵지만, 내부자나 탈취된 관리자 자격증명으로 접근할 경우 공격이 가능해집니다. 실제로 KEV 리스트에 등재되어 있어 야생 환경에서 이미 악용 사례가 보고되었으며, EPSS = 0.01944(≈1.9 %)는 현재까지 관측된 성공 확률이 낮지만 완전히 무시할 수 없음을 의미합니다. 공격 표면은 SonicWall SMA1000 장비의 관리 콘솔(AMC)에서 HTTPS로 제공되는 API 엔드포인트와 설정 파라미터이며, 이 인터페이스가 외부 네트워크에 노출된 경우 원격으로 접근이 가능합니다. 공격자는 먼저 관리자 권한을 획득하거나 자격증명을 탈취하고, 해당 콘솔에 인증 후 취약한 요청을 전송해 권한 검증 결함을 이용합니다. 이 과정에서 사용자 개입(UI = N)은 필요하지 않으며, 성공 시 로컬 시스템의 최고 권한으로 상승할 수 있습니다. 따라서 네트워크 접근 가능 범위와 관리자 계정 유출 위험이 동시에 존재하는 환경에서는 해당 취약점이 실질적인 위협이 됩니다.

• 기술적 위험
  • 성공 시 SMA‑6200, SMA‑6210, SMA‑7200 시리즈 전 모델(버전 < 12.4.3‑03245 및 12.5.0‑02283)에서 관리자 권한을 획득합니다.
  • 방화벽 정책·NAT·VPN 설정을 임의 변경해 트래픽 탈취, 서비스 차단 또는 내부망으로의 무단 접근이 가능해집니다.
• 비즈니스 위험
  • 핵심 보안 인프라가 장악되면 가용성(서비스 중단)과 무결성(정책 변조) 손실이 발생합니다.
  • PCI‑DSS·HIPAA 등 규제 환경에서 방화벽 관리권 오남용은 컴플라이언스 위반 및 과징금 위험을 초래할 수 있습니다.
• 노출 규모
  • 영향 제품이 총 8개(다수 모델·버전)로 보고되어, 동일 라인 장비를 다량 운영하는 조직에서는 광범위한 공급망 영향을 받을 가능성이 높습니다.

• 동일 SMA 시리즈에 존재하는 원격 코드 실행(RCE) 또는 설정 파일 인젝션 취약점과 결합될 경우, 초기 권한 상승 후 완전 원격 제어가 이루어질 수 있습니다.
• 현재 확인된 구체적인 CVE 번호는 없으며, 일반적인 “관리 콘솔 인증 우회” 패턴과 연계될 가능성이 존재합니다.

• AMC 로그에서 비정상적인 API 호출(예: /admin/upgrade, /admin/config 등) 및 승인되지 않은 권한 상승 이벤트를 모니터링합니다.
• 관리자 계정 생성·수정 기록이 기존 인증 흐름 없이 발생하면 경보를 설정합니다.
• 네트워크 IDS/IPS에서 “AV:N / AC:H” 수준의 복잡도 높은 요청이 비정상적인 포트(예: 443 → AMC)로 전송되는 패턴을 탐지합니다.

• 즉시 조치
  • SonicWall에서 제공하는 최신 펌웨어(12.5.0‑02284 이상)로 모든 영향을 받는 SMA 장비를 즉시 업데이트합니다.
  • 관리 콘솔에 대한 네트워크 접근을 내부 VLAN·VPN 등 제한된 구역으로 격리하고, IP 허용 목록을 최소화합니다.
• 근본 해결
  • 펌웨어 적용 후 관리자 계정 비밀번호를 재설정하고, 가능하면 MFA(다중 인증)를 활성화합니다.
  • 정기적인 펌웨어 점검·패치 관리 프로세스를 수립하여 신규 취약점이 공개될 경우 신속히 대응할 수 있도록 합니다.

본 보고서는 다중 소스 교차검증을 통해 일관성이 확인되었으며([교차검증] 다중 소스에서 일관성이 확인됐다), EPSS 0.01944와 KEV 등재·exploitation easy 등급이 결합돼 즉시 대응(24 시간 이내)으로 우선순위가 결정되었습니다([우선순위 결정]).

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=6.6 · KEV · EPSS=0.01944 · exploit=easy · in_scope=None