CVE 데이터베이스CVE-2015-2051

최종 갱신 2026-06-17English Advisory →

CVE-2015-20518.8/HIGHCISA KEV 등재CWE-77CWE-77

디링크(D-Link) DIR-645 라우터 HNAP 인터페이스 원격 명령 실행(RCE) 취약점 (CVE-2015-2051) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

d-link

대상 컴포넌트 / 패키지

dir-645

권고문 발행일

2015-02-23

CVSS v3.1

8.8

HIGH

30일 악용확률

97.1%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

디링크(D-Link) DIR-645 유무선 공유기 하드웨어 리비전 Ax (펌웨어 버전 1.04b12 및 이하 버전)

파급 효과

공격자가 HNAP 인터페이스의 GetDeviceSettings 액션을 악용하여 인증 없이 대상 장비에서 임의의 시스템 명령을 실행하고 장비를 완전히 장악할 수 있습니다

권장 조치

취약한 장비의 외부 관리 인터페이스 노출을 차단하고, 지원이 종료된(EoL) 장비이므로 최신 보안 지원이 제공되는 대체 장비로 교체할 것을 강력히 권고합니다

영향받는 제품 및 버전 범위

D-Link DIR-645 Wired/Wireless Router Rev. Ax (펌웨어 버전 1.04b12 및 이전 버전 전체)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

디링크 DIR-645 장비는 현재 수명 주기(EoL, End of Life)가 종료되어 공식적인 최신 보안 패치가 더 이상 제공되지 않습니다. 따라서 가장 안전한 조치는 장비를 신규 지원 모델로 교체하는 것입니다. 임시로 펌웨어를 최신 상태로 유지하려면 아래와 같이 수동 업그레이드를 진행해야 합니다.

bash

# 주의: DIR-645는 단종 제품이므로 아래 절차는 임시 조치이며 장비 교체를 강력히 권장합니다.
# 1. D-Link 공식 지원 페이지에서 최신 펌웨어 바이너리 다운로드
# 2. 라우터 관리자 페이지(Web GUI) 접속 -> Tools -> Firmware 메뉴 이동
# 3. 다운로드한 펌웨어 파일 선택 후 'Upload' 실행

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

장비 교체 전까지 외부로부터의 공격을 차단하기 위해 원격 관리(Remote Management) 기능을 비활성화하고, 방화벽 규칙을 통해 HNAP 포트(TCP 80)로의 외부 접근을 원천 차단해야 합니다.

bash

# iptables를 지원하는 상위 방화벽 장비가 전면에 있는 경우, DIR-645로 향하는 외부 HNAP 요청 차단
# 외부 인터페이스(eth0)로부터 들어오는 TCP 80 포트(HNAP) 트래픽 드롭
iptables -A FORWARD -i eth0 -p tcp --dport 80 -m string --string 'GetDeviceSettings' --algo bm -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

네트워크 트래픽 내에서 HNAP 인터페이스를 향한 비정상적인 POST 요청 및 명령 주입 시도를 탐지하기 위한 Snort/Suricata 룰 예시입니다.

bash

# Snort/Suricata 탐지 룰 예시
alert tcp any any -> $HOME_NET 80 (msg:'EXPLOIT D-Link DIR-645 HNAP GetDeviceSettings RCE Attempt'; flow:established,to_server; content:'POST'; http_method; content:'/HNAP1/'; http_uri; content:'GetDeviceSettings'; nocase; reference:cve,2015-2051; classtype:attempted-admin; sid:1000001; rev:1;)

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

D-Link DIR-645는 단종(EoL)된 장비이므로 즉시 사용을 중단하고 보안 지원이 제공되는 최신 라우터로 교체하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2015-2051)은 디링크(D-Link) DIR-645 라우터의 HNAP(Home Network Administration Protocol) 서비스 구현부에서 발생하는 명령 주입(Command Injection, CWE-77) 취약점입니다. HNAP 프로토콜은 SOAP 기반의 XML 요청을 처리하여 장치 설정을 관리하는데, 'GetDeviceSettings' 액션을 처리하는 과정에서 사용자 입력값에 대한 적절한 검증 및 필터링을 수행하지 않고 시스템 명령 실행 함수에 그대로 전달함으로써 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 특수하게 조작된 SOAP XML 요청을 라우터의 HNAP 포트(일반적으로 TCP 80)로 전송합니다. 'GetDeviceSettings' 요청 내의 특정 XML 노드 또는 HTTP 헤더 값에 쉘 메타문자(예: 백틱 '`' 또는 세미콜론 ';')와 함께 실행하고자 하는 명령어를 삽입하면, 라우터 내부의 웹 서버가 이를 파싱하는 과정에서 루트(root) 권한으로 해당 명령을 실행하게 됩니다. 이 과정에서 별도의 관리자 인증이 필요하지 않아 원격의 비인증 공격자가 손쉽게 익스플로잇을 수행할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있으며, EPSS 점수가 0.971에 달할 정도로 실제 야생(In-the-Wild)에서 봇넷(Botnet) 구축 및 디도스(DDoS) 공격의 경유지로 악용되는 빈도가 매우 높습니다. 공격자가 장비의 제어권을 획득할 경우 내부 네트워크로의 횡적 이동(Lateral Movement), 트래픽 스니핑, DNS 변조를 통한 피싱 사이트 유도 등 심각한 2차 피해를 유발할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The D-Link DIR-645 Wired/Wireless Router Rev. Ax with firmware 1.04b12 and earlier allows remote attackers to execute arbitrary commands via a GetDeviceSettings action to the HNAP interface.

http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10051

출처: cve@mitre.org · Exploit, Vendor Advisory

http://www.securityfocus.com/bid/72623

출처: cve@mitre.org · Broken Link, Third Party Advisory, VDB Entry

http://www.securityfocus.com/bid/74870

출처: cve@mitre.org · Broken Link, Third Party Advisory, VDB Entry

https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10282

출처: cve@mitre.org · Vendor Advisory

https://www.exploit-db.com/exploits/37171/

출처: cve@mitre.org · Exploit, Third Party Advisory, VDB Entry

http://securityadvisories.dlink.com/security/publication.aspx?name=SAP10051

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2015-2051)

FAQ

Q1. CVE-2015-2051 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2015-2051의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 97.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2015-2051에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 d-link이며, 대상 컴포넌트는 dir-645입니다. 상세 영향 범위: D-Link DIR-645 Wired/Wireless Router Rev. Ax (펌웨어 버전 1.04b12 및 이전 버전 전체)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 취약한 장비의 외부 관리 인터페이스 노출을 차단하고, 지원이 종료된(EoL) 장비이므로 최신 보안 지원이 제공되는 대체 장비로 교체할 것을 강력히 권고합니다 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동