[방어] 분석 — CVE-2022-20703

• 심각도 critical · CVSS 10.0 · EPSS 0.09203 · 악용난이도 easy · KEV

공격자는 라우터의 웹 관리 UI(HTTP / HTTPS)에서 파라미터 길이 초과, NULL‑byte(%00) 또는 비정상 바이트 시퀀스를 포함한 GET/POST 요청을 전송한다. 메모리 할당 로직이 손상돼 Use‑After‑Free 혹은 버퍼 오버플로가 발생하고, 인증·권한 없이 커널 수준에서 임의 코드를 실행한다. 관리 인터페이스가 내부 VLAN에만 존재하거나 VPN 터널을 통해서만 접근 가능한 경우에도 SSRF 또는 내부 서비스 간 호출을 이용해 우회할 수 있다.

악용 가능성: 이 취약점은 AV:N (네트워크를 통한 원격 접근) + AC:L (공격 복잡도 낮음) + PR:N (특권 요구 없음) + UI:N (사용자 상호작용 필요 없음) 조합으로, 공격자는 인터넷에 노출된 라우터의 관리 인터페이스(IP : 80/443 등)에 직접 패킷을 전송하기만 하면 된다면 추가 권한이나 피싱 단계가 전혀 요구되지 않습니다. EPSS = 0.09203이라는 수치는 현재 9.2% 수준으로, 실제 공격이 발생할 가능성이 비교적 높으며, KEV 리스트에 등재된 점은 이미 악용 사례가 보고돼 이론적 심각도와 무관하게 실전 위험이 존재함을 의미합니다. 트리거 조건은 라우터의 웹 관리 페이지 혹은 REST‑API 엔드포인트(예: /cgi-bin/luci/…, /admin/...)에 특수히 조작된 파라미터를 포함한 HTTP POST/GET 요청을 전송하는 것이며, 해당 포트가 외부 네트워크에 개방돼 있으면 바로 공격이 실행됩니다. 노출되는 프로토콜은 주로 HTTP/HTTPS이며, 일부 모델에서는 Telnet이나 SSH 관리 포트도 동일하게 취약점에 영향을 받을 수 있습니다. 따라서 공격자는 단일 요청만으로 임의 코드 실행·특권 상승·인증 우회 등을 달성할 수 있어 난이도가 “easy”로 평가된 것이 합리적입니다.

• 라우터 전체 제어권 획득 → 라우팅 테이블 변조, 트래픽 스니핑·리다이렉션, VPN 터널 탈취 등 전사 네트워크 기밀성·무결성·가용성 위협
• 관리자 계정 우회 및 추가 명령 실행 → 구성 변경·악성 펌웨어 다운로드·영속화 가능
• 메모리 손상에 따른 프로세스 크래시 반복 시 서비스 거부(DoS) 발생

동일 RV 시리즈에서 보고된 다른 CWE‑119 기반 메모리 손상 RCE와 결합하면 초기 접근 후 권한 상승·내부 횡적 이동(Lateral Movement)이 쉬워진다. 라우터 제어권 확보 후 내부 시스템에 대한 Credential Dumping, SMB Relay 등 추가 공격 도구와 연계할 수 있다.

로그 지표

• syslog/cisco:rv* 로그에서 “Segmentation fault”, “Invalid request”, “Memory allocation error” 메시지가 기록될 때
• 웹 접근 로그(access.log)에 URI 길이 ≥ 1024 바이트, 혹은 %00, \x90 등 비ASCII 바이트가 포함된 요청이 나타날 경우
• NetFlow/Zeek 로그에서 라우터 IP(예: 10.0.0.1)로 향하는 TCP 80/443 트래픽이 관리 서브넷 외부 또는 승인되지 않은 내부 호스트에서 발생하면 경고

SIEM 쿼리 예시 (Splunk)

 1index=router_logs sourcetype=cisco:rv*
 2| eval malicious=if(match(_raw,"(?i)(/admin|/cgi-bin).*(%00|\\x90|.{1024,})"),1,0)
 3| stats sum(malicious) as cnt by src_ip dest_ip uri
 4| where cnt>5

• src_ip가 승인된 관리 서브넷(예: 10.0.100.0/24)이 아니고, cnt가 5회를 초과하면 알림

IDS/IPS 정규식 예시

 1/(admin|config)\?[^ ]*(%00|\x90|[^\x20-\x7E]{4,})/i

오탐 튜닝

• 정상 관리자 작업(예: 파일 업로드)에서 발생하는 긴 URL는 src_ip가 관리 서브넷에 속하고 업무시간(09‑18시)일 경우 알림을 억제한다.
• 내부 서비스 간 API 호출이 빈번한 환경에서는 /api/ 경로를 화이트리스트에 추가하고, 임계값(cnt>5)을 cnt>10으로 상향한다.

1. 관리 인터페이스 VLAN 격리
   • 라우터 관리 포트를 전용 VLAN(예: VLAN 100)으로 이동하고, 해당 VLAN에 IPsec‑VPN + MFA 기반 인증만 허용한다.
2. HTTPS 전용·TLS 강화
   • HTTP(80)를 비활성화하고 HTTPS(443)만 남긴 뒤 TLS 1.2 이상과 강력한 cipher suite(ECDHE-ECDSA-AES256-GCM-SHA384)를 적용한다.
3. 소스 IP 화이트리스트
   • 승인된 관리 서브넷(IP 10.0.100.0/24 등)만 https 접근을 허용하도록 추가 ACL을 만든다.

• 구현 난이도 ★★☆ (네트워크 재구성·VPN 설정 필요)
• 운영 영향: 관리자 VPN 접속 절차 추가, 일시적 VLAN 재배치 작업 필요
• 검증 방법: VPN 터널 연결 후 curl -k https://<router_ip>/admin 로 로그인 성공 여부 확인

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.09203 · exploit=easy · in_scope=None