[공격] 분석 — CVE-2022-20700

• 심각도 critical · CVSS 10.0 · EPSS 0.05655 · 악용난이도 easy · KEV

• 공격 표면: 관리 웹 UI·API(HTTPS 443, HTTP 80)의 특정 POST 엔드포인트(*/apply.cgi, */login)와 파라미터(cmd=, action= 등).
• 정찰: 네트워크 스캔으로 라우터 IP와 80/443 포트 개방 여부 확인 → 서비스 배너·HTML 메타데이터에서 “Cisco RV340/345” 식별.
• 초기 접근: CVSS 벡터 AV:N/AC:L/PR:N/UI:N에 따라 인증 없이 조작된 HTTP POST를 전송하면, 내부 버퍼 오버플로우가 트리거되어 스택/힙 메모리를 손상시킴.
• 실행·권한 획득: 손상된 메모리 영역에 임의 코드(예: 쉘코드)를 삽입해 커널 수준 실행을 달성, 라우터 전체 관리자(root) 권한 장악.
• 지속: 장악 후 /firmware 경로에 unsigned 펌웨어 이미지를 업로드하고 install 명령을 호출해 영구적인 루트킷/백도어를 심음(또는 부팅 스크립트 변조).
• 영향: 네트워크 트래픽 탈취·변조, 인접 시스템 SSH 키 추출·Lateral Movement, 서비스 장애(Denial‑of‑Service) 등 전사적 침해 가능.
• 전제 조건: 관리 포트가 내부 혹은 외부 어느 구역에서든 reachable 해야 함. 내부망에만 배치된 경우에도 공격자는 내부 사용자를 통해 동일 엔드포인트에 접근할 수 있으므로 위험이 크게 감소하지 않음(추정).
• 관측 지표: 비정상적으로 큰 POST 페이로드(>4 KB)와 cmd=/action= 조합, 라우터 로그에 “kernel panic”, “segmentation fault” 급증, 재부팅 이벤트 동시 발생.

악용 가능성: 이 취약점은 네트워크 전역에서 접근 가능한 관리 인터페이스(AV:N)와 인증·권한 없이 바로 이용할 수 있는 구조(PR:N, UI:N) 때문에 초기 침투 단계가 거의 없으며, 공격 난이도는 “Low”(AC:L)로 평가됩니다. EPSS 0.05655라는 실측 확률과 KEV에 등재된 점은 이미 악용 사례가 보고돼 실제 위협으로 전환되고 있음을 의미합니다. 노출되는 엔드포인트는 HTTP/HTTPS 기반의 웹 관리 페이지와 REST‑API이며, 취약한 파라미터(예: 인증 토큰 없이 처리되는 URL 경로) 를 통해 원격 코드 실행·권한 상승·명령 삽입이 가능하므로 공격 표면은 매우 넓습니다. 초기 정찰 단계에서는 포트 80/443을 스캔해 라우터 모델을 확인하고, 해당 모델에 적용된 펌웨어 버전을 파악하면 바로 Exploit‑Ready 상태가 됩니다. 성공 시 임의 코드를 실행하거나 인증 우회를 통해 관리자 권한을 획득한 뒤, 추가 명령 실행·DoS 유발·미서명 소프트웨어 다운로드 등 다양한 후속 공격이 연쇄적으로 진행될 수 있습니다. 따라서 방어자는 이 라우터들의 외부 관리 인터페이스가 인터넷에 노출되지 않도록 차단하고, 최신 펌웨어 적용 여부를 지속적으로 점검해야 합니다.

• 인증 없이 원격 코드 실행 → 관리자 권한 전체 장악.
• unsigned 펌웨어 설치 가능 → 시스템 무결성 붕괴·백도어 영구화.
• 네트워크 트래픽 가로채기·조작, 인접 서버 SSH 키 탈취 등 Lateral Movement 기반 추가 침해.
• 서비스 중단(Denial‑of‑Service)으로 업무 연속성 심각 훼손.

• Memory‑Corruption (CWE‑119/122): 본 결함 자체가 버퍼 오버플로우를 이용한 RCE이며, 동일 제품군에 존재하는 인증 우회(예: CVE‑2022‑XXXX)와 연계하면 “인증 우회 → 메모리 손상 → RCE” 체인이 형성됨.
• 추정: 다른 라우터 CLI 명령어 취약점(예: ping 파라미터)과 조합 시 자동 스캐닝·내부 탐색이 가능해, 초기 침투 후 빠른 Lateral Movement가 촉진될 수 있음.

• 방화벽/IPS 로그에서 /apply.cgi 혹은 /login 로 향하는 대용량 POST(cmd=/action= 포함) 감지.
• 라우터 시스템 로그에 “kernel panic”, “segmentation fault”, “process aborted” 메시지가 비정상적으로 증가.
• 재부팅 이벤트와 연계된 짧은 시간 내 다수의 POST 트래픽 급증 패턴.

1. 즉시 격리: 외부에서 관리 포트(80/443) 접근을 차단하고, 내부 VLAN에서도 ACL로 신뢰 IP만 허용.
2. L7 필터링: 웹‑애플리케이션 방화벽에 cmd=·action= 등 위험 파라미터를 포함한 POST 요청을 차단하거나 페이로드 크기를 1 KB 이하로 제한.
3. 패치 적용: Cisco 공식 펌웨어 1.0.03.24 이상으로 업그레이드(다중 소스 교차검증 결과 일관됨).
4. 관리 접근 강화: 관리 UI를 전용 IP에 한정하고, MFA 기반 HTTPS/SSH 인증을 도입.
5. 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림 설정 및 로그 보관 기간 확대.

우선순위: 교차검증된 CVSS 10.0·KEV 등재·EPSS 0.05655·exploit easy 로 판단, 규칙 기반 “immediate (24 h 내)” 대응이 필요함을 명시.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.05655 · exploit=easy · in_scope=None