[단독공격] 분석 — CVE-2022-20699

• 심각도 critical · CVSS 10.0 · EPSS 0.72458 · 악용난이도 easy · KEV

• 공격 표면: HTTP/HTTPS 관리 인터페이스(기본 포트 80/443) 및 내부 API 엔드포인트. 입력 파라미터는 JSON/XML/폼 데이터이며 메모리 복사 루틴에 직접 전달됨.

• 트리거 조건: 특수히 조작된 요청 바디가 버퍼 길이 검증을 우회하여 스택/힙 오버플로우를 일으킴 → CWE‑119 (Memory‑Corruption). CVSS 벡터 AV:N/AC:L/PR:N/UI:N와 정확히 일치함.

• 단계

  1. 정찰 – Nmap, HTTP 헤더 분석, /login 페이지 응답에서 펌웨어 버전(예: RV340 Firmware 1.0.03.20) 확인.
  2. 초기 접근 – 조작된 POST/GET 요청을 관리 인터페이스에 전송, 메모리 복사 함수에 과다 데이터 삽입.
  3. 코드 실행 – 오버플로우가 제어 흐름을 공격자가 제공한 쉘코드(또는 ROP 체인)으로 리다이렉트, 루트 권한 프로세스에서 임의 명령 수행.
  4. 권한 유지 – /etc/config 파일에 악성 스크립트를 삽입하거나 부팅 시 실행되는 rc.local을 조작해 지속성을 확보.
  5. 영향 확대 – 내부 네트워크 전체 라우팅 테이블 변경, 임의 펌웨어 이미지 다운로드 및 실행(서명 검증 우회), 서비스 거부를 위한 무한 루프 트리거.

• 관측 지표: 비정상적인 HTTP/HTTPS 요청 크기·길이, 프로세스 크래시 로그, CPU 사용률 급등, 라우터 재부팅 이벤트.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 인터넷을 통해 라우터의 관리 인터페이스에 직접 접근할 수 있으며, 복잡한 사전 작업 없이 단순히 조작된 패킷만으로도 악용이 가능함을 의미합니다. 낮은 복잡도(AC:L)와 인증 필요 없음(PR:N)은 특수한 권한이나 내부 네트워크 침투 없이도 HTTP(S) 혹은 SSH 포트(기본 80/443, 22)를 향해 정형화된 요청을 보내면 취약점이 발동한다는 점을 보여줍니다. EPSS 0.72458이라는 높은 실측값과 KEV 등재는 이 취약점이 이미 실제 공격에서 활용되고 있음을 강력히 입증합니다. 노출되는 공격 표면은 라우터의 웹 기반 관리 API와 펌웨어 업데이트 엔드포인트이며, 특히 파라미터 sysCmd, fileUpload, firmwareUrl 등이 입력 검증 없이 처리됩니다. 악의적인 값이 해당 파라미터에 전달되면 임의 코드 실행 및 권한 상승이 즉시 이루어져 인증 우회와 명령 수행이 가능해집니다. 따라서 별도의 초기 정찰이나 추가 결함과의 체이닝 없이도 단일

• 원격에서 임의 코드 실행 → 전체 장비 완전 제어.
• 인증·권한 우회 → 관리자 계정 없이 설정 변경 가능.
• 서명되지 않은 펌웨어 다운로드·실행 → 공급망 공격 경로 확보.
• 서비스 거부(DoS) – 메모리 손상으로 라우터가 재부팅하거나 응답 중단.

• CWE‑119 (Improper Restriction of Operations within the Bounds of a Memory Buffer) → 직접적인 RCE 경로.
• 추정: 동일 시리즈에서 발견된 인증 우회(CWE‑287)와 결합될 경우, 먼저 기본 자격 증명(공장 초기값)으로 접근 후 메모리 복구를 이용해 루트 쉘을 얻는 체인이 가능함.
• 추정: 라우터 내부에 존재하는 파일 업로드 기능(CWE‑434)과 연계하면 악성 펌웨어 이미지를 무시하고 실행할 수 있어 지속성 확보가 쉬워짐.

• IDS/IPS에서 “oversized HTTP POST to /… (특정 파라미터명)” 패턴 매칭.
• 시스템 로그에 kernel: memory corruption 혹은 segfault at … 메시지가 기록되는 경우.
• 라우터 관리 인터페이스에서 비정상적인 세션 수·IP 주소 급증 감지.

1. 즉시 펌웨어를 1.0.03.24 이상 버전으로 업데이트(공급업체 패치 적용).
2. 인터넷에서 관리 포트(80/443) 접근 차단, VPN 또는 전용 관리 VLAN을 통해서만 접속 허용.
3. 기본 관리자 계정 및 비밀번호를 강력한 고유 값으로 교체하고, 불필요한 원격 관리 서비스를 비활성화.
4. 로그·시스템 모니터링을 강화하고, 위 탐지 지표에 대한 알림 규칙을 적용.

본 보고서는 다중 소스 교차검증이 일치함([교차검증])과 EPSS 0.72458이라는 높은 실측 악용 예측값([실측 악용예측])을 근거로, KEV 등재와 CVSS 10.0 점수를 고려한 즉시 대응 필요성([우선순위 결정])에 따라 작성되었습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.72458 · exploit=easy · in_scope=None