[단독분석] 분석 — CVE-2019-7481

• 심각도 high · CVSS 7.5 · EPSS 0.99906 · 악용난이도 easy · KEV

• 원격 네트워크에서 인증 없이 특수히 조작된 HTTP 요청을 전송 → 취약한 파라미터에 SQLi 페이로드 삽입.
• 서버가 입력값을 그대로 SQL 문에 포함시키면서 데이터베이스 조회 결과를 반환, 읽기 전용 정보 탈취가 가능함.
• CVSS 벡터 AV:N/AC:L/PR:N/UI:N 로 인해 공격자는 네트워크 접근만 있으면 추가 권한이나 사용자 상호작용 없이 악용 가능.

악용 가능성: 본 취약점은 네트워크에 직접 노출된 AV:N(원격) 환경에서 공격이 가능하므로, 외부 공격자는 별도의 인증 절차 없이도 대상 장비에 접근할 수 있습니다. AC:L(낮은 복잡성)과 PR:N(공격자 권한 없음), UI:N(사용자 상호작용 불필요) 조건을 모두 만족하므로, 기본적인 HTTP 요청만으로 악용이 가능하며 기술적 난이도는 매우 낮다고 평가됩니다. EPSS 점수 0.99906은 실제 공격 발생 확률이 거의 100%에 가깝다는 의미이며, KEV(공격에 활용된 취약점) 리스트에 등재되어 있어 이미 야생에서 악용되고 있음을 확인할 수 있습니다. 공격 표면은 SonicWall SMA100의 관리 인터페이스와 API 엔드포인트이며, 특히 버전 9.0.0.3 이전에서는 인증 없이 읽기 전용 리소스에 접근이 허용됩니다. 따라서 해당 장비가 인터넷에 직접 노출된 경우, 누구든지 최소한의 트래픽만으로 비인가 정보를 열람할 수 있는 위험이 존재합니다.

• 기술적 위험: 인증되지 않은 사용자가 데이터베이스 조회 결과를 열람할 수 있어 기밀성(C) 손상(Confidentiality High).
  • 노출 가능한 정보 예시: 시스템 설정, 관리 계정 목록, 로그 파일, 내부 네트워크 토폴로지 등.
  • 무결성(I)·가용성(A)은 직접적인 영향이 없으나, 탈취된 인증 정보가 이후 단계에서 추가 공격에 활용될 위험 존재.
• 비즈니스 리스크:
  • 규제/컴플라이언스 위반 가능성(예: 개인정보 보호법, PCI‑DSS 등) → 벌금·시정명령 위험.
  • 고객 및 파트너 신뢰도 저하, 브랜드 이미지 손상.
  • 침해 대응 비용 증가와 잠재적 서비스 중단(추가 공격에 대비한 격리 작업 필요).
• 영향 제품·노출 규모: SonicWall SMA100 펌웨어 버전 < 9.0.0.4 (예: 9.0.0.3 및 이전) 전부가 대상이며, 인터넷에 노출된 관리 인터페이스를 운영 중인 조직에서 광범위하게 존재할 가능성이 높음.
• 교차검증: 다중 소스에서 일관성이 확인됐으며(신뢰도 1.0), 보수적 심각도 평가(high)와 일치함.

• 동일 제품군에 보고된 다른 SQLi(CWE‑89)와 연계될 경우, 추가적인 권한 상승 취약점(예: CVE‑2020‑XXXXX)이 존재한다면 체이닝 공격이 가능하나 현재 확인된 바는 없음.
• KEV 등재가 의미하는 바는 이미 실전에서 악용된 사례가 보고되었으며, 추후 다른 취약점과 결합될 위험을 고려해야 함.

• 네트워크/IDS: “SQLi” 문자열(예: ' OR 1=1--, UNION SELECT)이 포함된 HTTP GET/POST 파라미터를 감시.
  • 예시 정규식: (?i)(\bunion\b|\bselect\b|\binsert\b|\bupdate\b|\bdelete\b).*(\%27|\')
• 웹 서버 로그: 비정상적인 HTTP 상태 코드(200 + 대용량 응답)와 함께 의심스러운 파라미터 조합을 필터링.
• WAF 정책: SonicWall SMA100 관리 인터페이스에 대한 SQLi 차단 규칙 적용.

• 즉시 조치 (24 시간 이내):
  • 외부에서의 관리 인터페이스 접근 차단(ACL 또는 IP 허용 리스트 적용).
  • 웹 애플리케이션 방화벽에 해당 SQLi 패턴 차단 규칙을 즉시 배포.
• 근본 해결: SonicWall SMA100 펌웨어를 9.0.0.4 이상으로 업데이트(공식 패치 적용).
• 추가 권고:
  • 취약 버전이 운영 중인 모든 장비에 대해 현재 상태 점검 및 로그 분석 수행.
  • EPSS 0.99906은 실제 악용 가능성이 거의 확실함을 의미하므로, 위 조치를 우선순위 “immediate” 로 판단한 근거(KEV 등재·CVSS 7.5·exploit easy)와 일치함.
• 장기 방어: 정기적인 펌웨어 업데이트 정책 수립 및 외부 노출 인터페이스 최소화.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=7.5 · KEV · EPSS=0.99906 · exploit=easy · in_scope=None