[공격] 분석 — CVE-2025-60876

• 심각도 medium · CVSS 6.5 · EPSS 0.00285 · 악용난이도 moderate

(1) 트리거 조건: wget이 HTTP 요청의 request-target(경로 및 쿼리) 내에 포함된 raw CR (0x0D), LF (0x0A), Space (0x20) 및 기타 C0 제어 문자를 필터링 없이 그대로 전송할 때 발생. 공격자가 제어 가능한 URL 파라미터를 wget이 호출하도록 유도하면 요청 라인을 분리(Split)하고 임의의 헤더를 주입 가능.

(2) 공격 단계:

• 정찰: 대상 시스템이 BusyBox 기반 임베디드 장비이며, 외부 입력값으로 wget을 통해 원격 자원을 가져오는 기능(예: 펌웨어 업데이트 체크, Webhook 호출 등)이 있는지 확인.
• 초기 접근: 공격자가 제어하는 서버로 유도하거나, 프록시/중계 서버를 통해 조작된 URL 전달.
• 실행 (Request Splitting): URL 경로에 %0D%0A 등을 삽입하여 HTTP 요청 구조를 파괴. wget은 이를 단순 문자열로 처리해 전송하지만, 수신측 서버는 이를 새로운 요청의 시작이나 추가 헤더로 인식.
• 영향: 주입된 헤더(예: Cookie, Authorization)를 통해 인증 우회 또는 수신 서버에 대한 SSRF 성격의 공격 수행.

(3) 공격 표면: busybox wget을 사용하는 모든 네트워크 엔드포인트 및 해당 도구에 인자로 전달되는 URL 파라미터.

(4) CVSS 벡터 연결:

• AV:N (Network): 원격에서 조작된 URL 전달만으로 트리거 가능.
• AC:L (Low): 특수 문자를 삽입하는 단순한 구조로 공격 난이도 낮음.
• PR:N / UI:N: 인증이나 사용자 상호작용 없이 wget 호출 지점만 찾으면 실행 가능.

악용 가능성: 본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯, 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 HTTP 요청을 보내는 것만으로 트리거되는 매우 낮은 진입 장벽을 가집니다. 특히 BusyBox wget이 HTTP Request-target 내의 CR(0x0D), LF(0x0A) 및 C0 제어 문자를 필터링 없이 수용한다는 점이 핵심 공격 표면이며, 이는 HTTP Request Smuggling이나 Header Injection으로 이어지는 결정적 경로가 됩니다. EPSS 수치가 0.00285로 낮고 KEV에 등재되지 않은 것은 현재 대규모 자동화 공격 도구에 편입되지 않았음을 의미할 뿐, 이론적 심각도와는 별개로 타겟팅된 환경에서는 즉시 악용 가능한 실전적 위협입니다. 공격자는 wget이 외부 URL을 호출하는 파라미터나 설정 파일의 엔드포인트를 제어할 수 있다면, Request-line을 강제로 분리하여 임의의 HTTP 헤더를 주입함으로써 백엔드 서버를 기만하거나 보안 장비를 우회할 수 있습니다. 결과적으로 이 취약점은 단순한 프로토콜 위반을 넘어, 신뢰 관계에 있는 내부 시스템 간 통신에서 요청 내용을 변조하는 초기 침투 및 권한 상승의 징검다리로 활용될 가능성이 높습니다.

(1) 기술적 위험:

• HTTP Header Injection: 요청 라인을 분리하여 임의의 헤더를 삽입함으로써 수신측 서버의 로직을 기만.
• SSRF 확장: 내부 망의 다른 서비스에 조작된 요청을 보내어 비정상적인 응답을 유도하거나 상태 변경 시도.
• 추정: wget 결과물을 파일로 저장하는 경우, HTTP 응답 헤더를 조작하여 파일 내용(Payload)을 변조할 가능성 존재.

(2) 비즈니스 영향: 임베디드 장비의 무결성 훼손 및 내부망 보안 경계 무력화. BusyBox가 광범위하게 사용되는 라이브러리 특성상 노출 규모가 매우 큼.

• 패턴: Input Validation Failure $\rightarrow$ HTTP Request Splitting $\rightarrow$ SSRF/Auth Bypass.
• 체이닝 경로:
  • 추정: wget을 통해 가져온 데이터를 쉘 명령어나 다른 설정 파일에 그대로 쓰는 로직과 결합될 경우, 요청 분리를 통해 응답 내용을 조작하여 Command Injection 또는 Configuration Overwrite로 이어질 수 있음.
  • 추정: 프록시 서버 뒤에서 동작하는 환경일 경우, 전방 프록시와 후방 BusyBox 간의 HTTP 해석 차이(HTTP Desync)를 이용한 캐시 포이즈닝 가능성 존재.

(1) 로그 지표: wget 호출 인자 또는 네트워크 트래픽 중 URL 경로/쿼리에 %0D, %0A, %20(raw space) 등이 포함된 패턴 확인.

(2) 탐지 규칙 예시:

• Network IDS (Suricata/Snort):
  alert http $HOME_NET any -> $EXTERNAL_NET any (msg:"BusyBox wget Request Splitting Attempt"; content:"|0d 0a|"; http_uri; sid:1000001;)
• SIEM (Log Analysis):
  SELECT * FROM logs WHERE process_name='wget' AND command_line MATCHES '.*(\x0D|\x0A|\x20).*'

(3) 오탐 시나리오 및 튜닝: 정상적인 URL 인코딩(%20)과 raw byte(0x20)를 구분하여 탐지해야 함. 단순 % 문자가 아닌 실제 제어 문자 바이트가 전송되는지 패킷 레벨에서 검증하여 오탐 감소.

• 즉시 (긴급 차단): WAF 또는 IPS에서 HTTP 요청 타겟 내의 CR/LF 및 raw space 패턴을 드롭(Drop) 처리. (난이도: 낮음 / 영향: 매우 낮음 / 검증: 조작된 URL 전송 시 차단 확인)
• 단기 (완화): wget 호출 전, 래퍼 스크립트(Wrapper script)를 통해 입력 URL에서 제어 문자 및 raw space를 제거하거나 %xx 형태로 강제 인코딩. (난이도: 중간 / 영향: 낮음 / 검증: 필터링 후 wget 전달 값 확인)
• 근본 (해결): BusyBox 1.37.0 이상 버전으로 업데이트. 해당 버전은 HTTP/1.1 규격에 따라 request-target 내의 제어 문자 및 raw space를 거부함. (난이도: 중간 / 영향: 재부팅 필요 가능성 / 검증: wget --version 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00285, 백분위 0.20329) 및 CVSS 6.5를 기반으로 우선순위를 scheduled(이번 주 내)로 결정함. KEV 미등재 상태이나 AV:N/AC:L 조건으로 인해 실질적 위협이 존재하므로 규칙 기반 대응 절차를 적용함.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=6.5 · non-KEV · EPSS=0.00285 · exploit=moderate · in_scope=None