네트워크에 자동으로 연결되도록 해주는 ‘편리한 연결성’ 프로토콜
원래 LAN에서만 이용해야 하는데...인터넷에도 연결하고 보안도 하지 않고

[보안뉴스 문가용 기자] UPnP 프로토콜에서 취약점이 새롭게 발견됐다. 영향력이 매우 큰 취약점으로 현재 수십 억 대의 장비들이 이 오류를 내포하고 있으며, 해커들의 다양한 악성 행위의 발판이 되고 있는 상황이라고 한다.


UPnP는 네트워크 내에 삽입되는 장비들을 자동으로 발견해 연결시켜줌으로써 편리하게 사용할 수 있도록 해주는 프로토콜이다. 원래는 신뢰할 수 있는 로컬 영역 네트워크(LAN)에서만 사용할 목적으로 만들어졌기 때문에 인증 장치 같은 건 없다. 장치에 랜선이 꼽히면 바로 연결되고 네트워크를 통해 접속이 가능하다.

그런데 사물인터넷 장비들에서도 UPnP가 광범위하게 사용된다. 이 때 안전하게 UPnP를 구축하려면 장비 보호(Device Protection)라는 서비스를 활용해 보안 층을 조금 더 두텁게 만들어야 하는데, 이 기능은 간과되는 경우가 대부분이다.

현지 시각으로 이번 주 월요일 미국 카네기멜론 대학의 CERT/CC는 이 UPnP에서 취약점이 나타났다는 내용의 경고문을 발표했다. ‘오픈 커넥티비티 재단(Open Connectivity Foundation, OCF)가 프로토콜 사양을 최신화 한 4월 17일 이전에 도입된 프로토콜 전부에 영향이 있다고 한다. 익스플로잇 할 경우 공격자들은 대량의 데이터를 인터넷을 통해 임의의 장소로 이동시킬 수 있다“고 한다.

이 취약점은 현재 CVE-2020-12695라는 관리번호를 부여 받은 상태다. 또한 콜스트레인저(CallStranger)라는 이름도 붙었다. 원격에서 인증을 받지 않은 공격자가 디도스 공격을 하거나 보안 시스템을 우회할 때, 혹은 데이터를 빼돌리거나 내부 포트를 스캔할 때 활용할 수 있다고 한다.

CERT/CC 측은 “UPnP 서비스를 인터넷에 노출시키는 것이 일반적으로는 단순 설정 오류로 인식되고, 따라서 큰 일이 아닌 것처럼 여겨지는데, 쇼단으로 검색을 해보면 적잖은 UPnP가 인터넷에 연결되어 있다는 것을 알 수 있다”고 경고했다.

취약점을 최초로 발견한 건 EY 터키(EY Turkey)의 유누스 카디르키(Yunus Cadirci)라는 보안 전문가로, 윈도우 기반 PC, 게임 콘솔, TV, 각종 라우터들에 영향을 미친다고 그는 발표했다. 취약점에 노출된 라우터의 제조사들은 에이수스, 벨킨, 브로드컴, 시스코, 델, 디링크, 화웨이, 넷기어, 삼성, TP링크, ZTE 등이다.

EY 터키 측의 설명에 따르면 취약점은 UPnP의 구독(SUBSCRIBE) 기능의 콜백(Callback) 헤더 값을 공격자가 제어할 수 있게 된다는 것에서부터 발동된다고 한다. 이 때문에 SSRF와 유사한 취약점이 발동되는데, 현재 인터넷에 직접 연결된 수십 억대의 LAN 장비들이 위험에 노출되어 있는 상황이라고 EY 터키는 경고했다.

UPnP를 활용한 제조사들이라면 OCF가 업데이트 한 최신 사양을 도입해야 한다. 사용자들이라면 제조사의 웹사이트 등을 주기적으로 모니터링 해 관련 업데이트가 배포되고 있는지 검토해 적용해야 한다.

또한 사물인터넷 장비 제조사들은 사용자들이 UPnP 구독(UPnP SUBSCRIBE) 기능을 옵션 조정을 통해 비활성화시킬 수 있어야 한다고 EY 터키는 제안했다. 구독 기능을 디폴트로 활성화하려면 반드시 사용자의 동의가 필요하다는 게 키다르키의 생각이다. “인터넷과 연결된 인터페이스에서라면 UPnP 프로토콜을 비활성화 시키는 게 맞습니다.”

일반 가정에서 라우터 등을 통한 사이버 공격이 직접 가해지지는 않을 거라고 CERT/CC는 설명했다. “다만 UPnP가 설치된 장비를 원격에서 긁어모은 공격자가 이를 통해 거대한 디도스 공격을 실시할 수는 있을 겁니다. 즉 사용자 본인의 입장에서는 큰 불편함이 없지만, 누군가는 그 장비를 통해 커다란 피해를 입게 된다는 것입니다. 궁금하다면 라우터를 제공한 통신사나 인터넷 서비스 업체에 연락해 UPnP를 사용하고 있는지, 또 콜스트레인저 취약점이 있는지 확인해야 합니다.”

이 말은 공격자들이 이 UPnP 취약점을 통해 거대한 봇넷을 형성할 가능성이 높다는 뜻이다. 따라서 사물인터넷 장비를 사용하고 있는 소비자나 기업들이라면 UPnP 취약점 스캔과 OCF에 따른 사양 업데이트를 하는 편이 안전하다.

3줄 요약
1. 장비를 네트워크에 편리하게 연결해주는 프로토콜인 UPnP에서 취약점 발견.
2. 원래 UPnP는 인터넷과 분리되어야 하는 프로토콜인데 이게 잘 지켜지지 않음.
3. 또한 추가 보안 장치라고 할 수 있는 ‘장비 보호’ 서비스도 무시되는 것이 일상.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>