[단독방어] 분석 — CVE-2021-20038

• 심각도 critical · CVSS 9.8 · EPSS 0.99899 · 악용난이도 easy · KEV

SMA 200/210 시리즈에 내장된 Apache httpd의 mod_cgi 모듈이 환경 변수 처리 시 스택 버퍼 오버플로우를 일으킵니다. 원격 공격자는 HTTP GET/POST 요청에 과도하게 긴 CGI‑환경 변수 값을 포함시켜 메모리를 덮어쓰고, “nobody” 사용자 권한으로 임의 코드를 실행할 수 있습니다. 인증·사용자 입력 검증이 전혀 필요 없으며 네트워크 접근만 있으면 즉시 악용이 가능합니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 이 취약점은 네트워크를 통해 인증 없이, 사용자 개입 없이도 바로 악용할 수 있어 공격 난이도가 매우 낮습니다. 프리미션 요구가 없고(​PR:N) 인터페이스 조작 필요가 없으므로(​UI:N) 원격에서 단순히 요청만 전송하면 됩니다. EPSS 값이 0.99899로 거의 확실한 실사용 위험을 나타내며, KEV에 등재된 점은 이미 실제 공격 사례가 보고됐음을 의미합니다. 공격 표면은 SMA‑series 장비의 Apache httpd 서버에서 동작하는 mod_cgi 모듈이며, CGI 스크립트를 호출할 수 있는 모든 HTTP 엔드포인트가 노출됩니다. 특히 환경 변수(예: QUERY_STRING, HTTP_COOKIE) 값을 조작해 전달하면 스택 기반 버퍼 오버플로우가 발생합니다. 이 오버플로우를 통해 공격자는 ‘nobody’ 사용자 권한으로 임의 코드를 실행할 수 있습니다. 네트워크에 공개된 해당 포트만 알면 자동화 도구

• 성공 시 공격자는 ‘nobody’ 계정(권한 제한된 시스템 사용자)으로 쉘을 획득합니다.
• 추가적인 권한 상승(LPE) 또는 내부 서비스와 연계하면 전체 장비 제어·데이터 탈취가 가능해집니다.
• 로그 및 설정 파일 변조, 악성 스크립트 지속화 등이 발생할 수 있습니다.

• 동일한 Apache mod_cgi 모듈을 사용하는 다른 네트워크 장비에서도 CWE‑119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) 유형의 버퍼 오버플로우가 보고된 바 있습니다.
• 권한 상승 취약점(CVE‑2020‑xxxx 등)과 결합하면 초기 “nobody” 쉘을 루트로 승격시킬 수 있는 체이닝 위험이 존재합니다.

• 로그 지표

  • /var/log/httpd/error_log 혹은 SonicWall syslog에 mod_cgi 관련 “segmentation fault”, “core dumped”, “failed to allocate environment” 메시지가 기록됩니다.
  • HTTP 요청 로그(access_log)에서 환경 변수 길이가 비정상적으로 긴 경우(예: 1024 바이트 초과) 필드에 ENV= 접두사가 포함됩니다.

• 탐지 규칙 예시

  1. SIEM 쿼리 (Splunk/Elastic)

 1source="sonicwall_sma" 
 2| regex _raw "mod_cgi.*(segmentation fault|core dumped)" 
 3OR (env_length>1024 AND env_name="ENV")

1. 정규식 (Apache access 로그)

 1^(?<client>\S+) \S+ \S+ \[(?<time>[^\]]+)\] "(GET|POST) (?<url>\S+) HTTP/\d\.\d" \d+ \d+ ".*" ".*" ENV=(?<env>.{1025,})

1. 경보 조건 – 동일 IP에서 5분 내에 위 패턴이 2회 이상 발생 시 고위험 경보 생성.

• 오탐 튜닝
  • 정상적인 대용량 파일 업로드나 내부 관리 스크립트가 환경 변수를 길게 사용하는 경우가 드물므로, env_name이 “ENV” 혹은 “PATH_INFO” 등으로 제한하고, 허용된 내부 IP 범위(예: 10.0.0.0/8)에서 발생한 이벤트는 낮은 심각도로 재분류합니다.

• 즉시(긴급 차단)

  • mod_cgi 비활성화 : SonicWall 관리 콘솔 → System Settings → Web Services 에서 “CGI Execution” 옵션을 OFF 로 전환하거나, 방화벽 ACL에 dst_port=80·dst_ip=<SMA_IP> + http.request.method=GET|POST + uri_path contains "/cgi-bin/" 를 차단합니다.
    • 구현 난이도: ★★ (콘솔 조작만으로 가능)
    • 운영 영향: CGI 기반 관리·진단 기능이 중단되지만, 대부분의 VPN/메일 서비스는 영향을 받지 않음.
    • 검증 방법: 차단 후 curl http://<SMA_IP>/cgi-bin/test.cgi 요청시 403 또는 연결 거부 응답 확인.

• 단기(완화)

  • 입력 길이 제한 : Apache httpd 설정(LimitRequestFieldSize, LimitRequestLine)을 기본값(8190 바이트)보다 낮게(예: 1024 바이트) 조정하여 과도한 환경 변수 전송 자체를 차단합니다.

    • 구현 난이도: ★★ (설정 파일 편집 후 서비스 재시작 필요)
    • 운영 영향: 일부 정상적인 긴 헤더가 있는 내부 애플리케이션에 영향을 줄 수 있으니 사전 테스트 권장.
    • 검증 방법: apachectl configtest → 정상 시 systemctl restart httpd; 이후 정상 요청과 변조된 요청을 각각 전송해 차단 여부 확인.

  • IDS/IPS 서명 적용 : SonicWall Threat Protection 또는 외부 IPS에 “CVE-2021-20038” 서명을 즉시 로드하고, mod_cgi 과도한 ENV 변수 탐지를 활성화합니다.

    • 구현 난이도: ★ (정책 업데이트만)
    • 운영 영향: 실시간 트래픽 검사로 인한 미미한 지연 가능성.
    • 검증 방법: IPS 로그에 “CVE-2021-20038 detection” 이벤트가 기록되는지 확인.

• 근본(해결)

  • 패치 적용 : SonicWall 공식 펌웨어 10.2.0.8‑37sv 이상, 10.2.1.1‑19sv 이상, 10.2.1.2‑24sv 이상으로 업그레이드합니다.
    • 구현 난이도: ★★★ (펌웨어 다운로드·검증·적용 및 재부팅 필요)
    • 운영 영향: 장비 재시작에 따른 일시적인 서비스 중단(계획된 유지보수 창 권장).
    • 검증 방법: 업그레이드 후 show version 명령으로 펌웨어 버전 확인, 그리고 위 탐지 규칙이 더 이상 트리거되지 않는지 테스트.

• 잔여 리스크 : 패치 적용 전까지는 mod_cgi 비활성화와 입력 길이 제한을 병행하면 대부분의 악용 시도를 차단할 수 있습니다. 하지만 완전한 방어를 위해서는 공식 펌웨어 업데이트가 최종 해결책이며, 이후에도 최신 보안 권고를 지속적으로 적용해야 합니다.

• 인시던트 대응 플레이북 (요약)

  1. 경보 발생 시 해당 IP·URI·ENV 값 확인 → 비정상 길이 여부 판단.
  2. 즉시 차단 정책(ACL 또는 mod_cgi OFF) 적용 후 재현 테스트.
  3. 로그 수집·분석으로 추가 침해 흔적(예: 파일 생성, 사용자 계정 변조) 탐색.
  4. 패치 일정이 확정되면 사전 검증 후 전사 배포, 완료 시 정상화 보고.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.99899 · exploit=easy · in_scope=None