Cisco IOS 12.4 HTTP 관리 구성 요소 크로스 사이트 요청 위조(CSRF) 원격 명령 실행 취약점 (CVE-2008-4128)

1. 임시 완화 조치 (HTTP 서비스 비활성화)

라우터의 웹 기반 관리 인터페이스가 불필요한 경우, 아래 명령어를 통해 HTTP 및 HTTPS 서버 서비스를 완전히 비활성화하는 것이 가장 안전합니다.

Router# configure terminal
Router(config)# no ip http server
Router(config)# no ip http secure-server
Router(config)# end
Router# write memory

2. 액세스 제어 목록(ACL) 적용

웹 관리가 반드시 필요한 경우, 신뢰할 수 있는 특정 관리자 IP 대역에서만 HTTP/HTTPS 접속이 가능하도록 ACL을 설정하십시오.

Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255
Router(config)# ip http access-class 10

3. 영구 조치

Cisco 공식 지원 채널을 통해 해당 취약점이 해결된 최신 Cisco IOS 소프트웨어 릴리즈로 업그레이드를 수행하십시오.

본 취약점은 Cisco IOS 12.4를 실행하는 Cisco 871 라우터의 HTTP 관리(Administration) 웹 인터페이스에서 발생하는 크로스 사이트 요청 위조(CSRF, CWE-352) 취약점입니다.

Cisco IOS의 웹 관리 콘솔은 세션 검증 시 CSRF 토큰(Anti-CSRF Token)과 같은 고유한 난수 값을 검증하지 않아, 관리자가 로그인된 상태에서 악성 웹사이트를 방문하거나 이메일의 악성 링크를 클릭할 경우 공격자가 의도한 요청이 관리자의 권한으로 라우터에 전송됩니다.

공격자는 이 취약점을 악용하여 다음과 같은 두 가지 주요 경로로 명령을 실행할 수 있습니다:

• /level/15/exec/- URI를 통해 show privilege 등의 명령을 실행하여 현재 세션 권한을 확인하거나 임의의 명령을 수행합니다.
• /level/15/exec/-/configure/http URI를 통해 alias exec 명령을 전달하여 라우터 설정을 변경하고 백도어 성격의 명령 별칭을 생성합니다.

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, EPSS 점수가 0.94에 달할 정도로 실제 공격에 활발히 악용된 이력이 있는 고위험군 취약점입니다.