CISA- Sierra Wireless AirLink ALEOS 라우터 취약점

구형 산업용 라우터 재공격

한 줄 요약
- CISA가 CVE-2018-4063을 KEV 목록에 추가하면서, 구형 장비에서 “이미 알려진 취약점”이 다시 공격 벡터로 굳어지고 있다.
- OT 네트워크 경계에 있는 산업용 라우터는 인터넷 노출·원격관리·장기 미패치가 겹치면 침해 범위가 설비/공정까지 확대될 수 있다.

무슨 일이 있었나

미국 사이버보안·인프라보안국(CISA)은 Sierra Wireless AirLink ALEOS 라우터에서 발생하는 치명적 취약점 CVE-2018-4063을 실제 악용 확인 취약점(KEV) 목록에 추가했다. 핵심은 “패치가 존재하는 구형 취약점”임에도 현장에서 미적용 상태로 남아 공격 시도가 지속된다는 점이다.

이번 이슈가 특별히 위험한 이유
- OT 환경은 장비 수명이 길어 “구형 펌웨어”가 장기간 유지될 가능성이 큼
- 경계 장비(라우터)가 뚫리면 내부 OT 네트워크로 들어가는 문이 열릴 수 있음
- 공격자는 단일 장비 장악에 그치지 않고, “원격 접속 경로” 자체를 탈취해 장기 침투를 노림

CVE-2018-4063 핵심 포인트

CVE-2018-4063은 원격 코드 실행(RCE)로 이어질 수 있는 취약점으로 알려져 있다. 기사에서 언급된 시나리오는 악의적 HTTP 요청을 이용해 업로드 동작을 악용하고, 파일명/템플릿 처리 과정에서 권한이 유지되거나 덮어쓰기 동작이 발생할 때 위험이 커지는 구조다.

현장 점검 관점으로 정리
- 이 취약점은 “정보유출” 수준에서 끝나는 것이 아니라, 장비 제어권으로 이어질 수 있다는 점이 핵심
- 특히 산업용 라우터가 OT 경계에 위치할수록, 단일 장비 문제가 “구간 전체 위험”으로 확대됨

OT 경계 라우터가 공격의 중심이 되는 이유

OT 네트워크에서 경계 장비는 업무상 “연결”을 제공해야 하기 때문에, 공격자 입장에서는 가장 효율적인 표적이 된다. 외부에서 스캔하기 쉬운 서비스(HTTP/HTTPS, SSH, Telnet 등)가 노출되어 있거나, 원격 유지보수를 위해 예외 설정이 남아 있는 경우가 흔하다.

공격자가 노리는 전형적 조건
- 원격관리 페이지가 인터넷에 그대로 노출됨
- 기본 계정/약한 비밀번호 또는 오래된 계정 정책이 유지됨
- 펌웨어 업데이트가 어려워 수년간 미적용 상태가 지속됨
- OT 장비와 IT 자산이 “한 번에” 이어지는 평면 네트워크(세그먼트 분리 부족)

리스크를 한눈에 보는 비교표

같은 취약점이라도 “어디에 있는 장비인지”에 따라 위험이 완전히 달라진다. 아래 표는 OT 경계에 있는 산업용 라우터에서 자주 나타나는 위험의 형태를 비교한 것이다.

구분	현장에서 흔한 상태	공격자가 얻는 이득	권장 대응
패치 상태	장기 미패치(펌웨어 유지보수 어려움)	기성 익스플로잇/자동 스캐너로 반복 시도	지원 버전 업데이트 또는 장비 교체 계획 수립
노출 면	HTTP/HTTPS 관리 포트 외부 노출	원격 공격면 확보(대량 스캔→표적화)	관리 포트 비노출, VPN/점프호스트로만 접근
인증/계정	공용 계정, 약한 비밀번호, 계정 공유	브루트포스/크리덴셜 스터핑 성공률 증가	강제 MFA(가능 시), 계정 분리, 강력한 패스워드 정책
네트워크 구조	OT/IT 혼재, 세그먼트 분리 부족	라우터 장악 후 내부 확산이 쉬움	구간 분리, 최소 경로만 허용, 동서 트래픽 가시화
모니터링	라우터 로그 미수집, 경계 이벤트 미가시화	침투 후 장기 잠복 가능	로그 중앙수집, 원격관리 접속/설정변경 알림

지금 당장 해야 할 점검 리스트

“패치하세요”만으로는 OT 현장에서 움직이기 어렵다. 아래 순서대로 진행하면, 오늘부터라도 위험을 줄일 수 있다. 이 과정에서 CVE-2018-4063 같은 구형 취약점이 남아 있는지 빠르게 확인할 수 있다.

우선순위 1) 노출 차단
- 라우터 관리 페이지(HTTP/HTTPS)를 인터넷에서 직접 접근 가능하게 두지 않기
- 외부 접속은 VPN + 점프호스트로만 허용하기
- 불필요한 서비스(예: Telnet) 비활성화하기

우선순위 2) 자산/버전 가시화
- OT 구간의 산업용 라우터 모델/펌웨어 버전/관리 인터페이스 목록 만들기
- “지원 종료(EOL)” 장비를 별도 표시해 교체 로드맵에 올리기
- 외주/협력사 계정 포함, 원격접속 계정 인벤토리 확보하기

우선순위 3) 계정·정책 정리
- 공유 계정 제거, 개인 계정으로 분리하기
- 비밀번호 정책 강화(길이/복잡도/재사용 제한) 및 주기적 변경 적용하기
- 설정 변경 권한을 최소화하고, 변경 시 알림/승인 절차 두기

우선순위 4) 패치·교체 실행
- 지원 버전으로 펌웨어 업데이트(가능한 경우 우선 적용)
- 업데이트가 불가능하거나 위험이 큰 경우, 장비 교체(또는 구간 재설계) 계획 수립
- 업데이트 후에는 외부 노출 여부/관리 포트 접근 정책을 재검증하기

운영 중 탐지 포인트

OT는 “침해가 나도 티가 안 나는” 상황이 가장 위험하다. 특히 경계 라우터는 설정이 바뀌거나, 외부 통신이 늘거나, 계정 로그인 패턴이 바뀌는 순간이 신호가 된다.

이상 징후 체크
- 평소 없던 국가/대역에서 관리 페이지 접속 시도 증가
- 실패 로그인 폭증(SSH/Telnet/웹관리) 또는 특정 계정으로 반복 시도
- 설정 변경(방화벽 룰, NAT, 포트포워딩, 계정 추가/삭제) 발생
- 라우터에서 외부로 나가는 비정상 트래픽 증가(주기적 비콘, 대량 업로드 등)

대응 플랜 템플릿

산업용 라우터 재공격이 현실화된 지금, 조직이 준비해야 하는 것은 “단발성 패치”가 아니라 반복 대응이 가능한 운영 플랜이다. 아래 템플릿대로 기록을 남기면 다음 점검 때 속도가 빨라진다.

운영 템플릿
- 대상 자산: 모델/시리얼/위치/구간(OT/DMZ/현장) / 담당자
- 노출 상태: 외부 노출 여부 / 접근 경로(VPN/점프) / 허용 IP
- 계정 정책: 계정 수 / 권한 / 변경 이력 / 공유 계정 여부
- 패치 상태: 현재 버전 / 목표 버전 / 적용 일정 / 적용 결과
- 검증 항목: 포트 스캔 결과 / 설정 변경 로그 / 원격접속 로그

마무리

CVE-2018-4063 같은 구형 취약점이 다시 공격에 사용된다는 사실은, “알려진 취약점은 결국 다시 온다”는 현실을 보여준다. OT 경계에 위치한 산업용 라우터는 공격자에게 가장 효율적인 진입점이 되기 쉽다. 따라서 조직은 노출 차단, 자산 가시화, 계정 정책 정리, 패치·교체 실행을 하나의 묶음으로 운영해야 한다.

오늘의 결론
- “구형 장비 + 외부 노출 + 미패치” 조합이 가장 위험하다.
- OT 경계 라우터는 침해 시 파급이 크므로, 우선순위를 올려야 한다.
- 패치가 어렵다면, 최소한 “관리 포트 비노출 + 접근경로 통제 + 로그 수집”부터 시작해야 한다.