CVE 데이터베이스CVE-2016-6415

최종 갱신 2026-06-17English Advisory →

CVE-2016-64157.5/HIGHCISA KEV 등재CWE-200CWE-200

Cisco IOS / IOS XE / IOS XR / PIX IKEv1 정보 유출 취약점 (CVE-2016-6415, BENIGNCERTAIN)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

cisco

대상 컴포넌트 / 패키지

ios, ios_xe, ios_xr, pix_firewall_software

권고문 발행일

2016-09-19

CVSS v3.1

7.5

HIGH

30일 악용확률

87.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Cisco IOS 12.2~12.4 및 15.0~15.6, IOS XE 3.18S 이하, IOS XR 4.3.x 및 5.0.x~5.2.x, PIX 방화벽 7.0 미만 버전

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 IKEv1 보안 협상 패킷을 전송하여 장비 메모리 내의 민감한 정보(개인키, 구성 파일 등)를 탈취할 수 있습니다

권장 조치

영향받는 장비의 펌웨어를 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 불필요한 IKEv1/IPsec 서비스를 비활성화하고 방화벽 ACL을 통해 신뢰할 수 있는 IP만 허용하십시오

영향받는 제품 및 버전 범위

Cisco IOS 12.2 ~ 12.4 및 15.0 ~ 15.6, IOS XE 3.18S 이하, IOS XR 4.3.x 및 5.0.x ~ 5.2.x, PIX 방화벽 7.0 미만 버전 중 IKEv1 기능이 활성화된 장비

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Cisco 공식 소프트웨어 센터를 통해 취약점이 해결된 최신 릴리스로 업그레이드해야 합니다. 장비의 현재 버전을 확인하고 업그레이드를 진행하십시오.

bash

# 현재 IOS 버전 및 이미지 확인
show version | include Software
show boot

# TFTP 서버를 통한 안전한 이미지 다운로드 및 부팅 경로 설정 예시
copy tftp: flash:
# Address or name of remote host? 192.168.1.100
# Source filename? c3900e-universalk9-mz.SPA.156-3.M10.bin
# Destination filename [c3900e-universalk9-mz.SPA.156-3.M10.bin]? 

configure terminal
 no boot system
 boot system flash c3900e-universalk9-mz.SPA.156-3.M10.bin
 end
write memory
reload

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, 인프라 경계 방화벽 또는 장비 자체의 인프라 ACL(iACL)을 적용하여 신뢰할 수 있는 피어(Peer) IP 주소만 UDP 500 및 4500 포트에 접근할 수 있도록 제한해야 합니다.

bash

# 신뢰할 수 있는 VPN 피어 IP(예: 203.0.113.50)만 허용하고 나머지 IKE 요청 차단
configure terminal
 ip access-list extended RESTRICT-IKE
  permit udp host 203.0.113.50 any eq non500-isakmp
  permit udp host 203.0.113.50 any eq isakmp
  deny udp any any eq non500-isakmp
  deny udp any any eq isakmp
  permit ip any any
  exit

# 외부 인터페이스(예: GigabitEthernet0/0)에 ACL 적용
interface GigabitEthernet0/0
 ip access-group RESTRICT-IKE in
 end
write memory

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

장비에서 ISAKMP(IKEv1)가 활성화되어 동작 중인지 확인하고, 비정상적인 연결 시도나 크래시 로그를 모니터링합니다.

bash

# ISAKMP(IKEv1) 활성화 여부 및 활성 터널 확인
show crypto isakmp sa
show crypto ipsec sa

# 시스템 로그에서 IKE 관련 오류 또는 비정상적인 프로세스 재시작 흔적 확인
show logging | include ISAKMP|IKE|HEARTBEAT|Crash

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

IKEv1을 사용하는 Cisco 장비의 펌웨어를 즉시 최신 권장 버전으로 업그레이드하고, 불필요한 외부 IKE 포트(UDP 500/4500) 노출을 차단하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2016-6415)은 Cisco 장비의 IKEv1(Internet Key Exchange Version 1) 프로토콜 구현부에서 발생하는 심각한 정보 유출(Information Disclosure) 취약점입니다. 일명 'BENIGNCERTAIN'으로 알려진 이 취약점은 IKEv1 보안 협상(Security Association, SA) 요청 패킷을 처리할 때 입력값 검증 및 버퍼 경계 검사가 미흡하여 발생합니다. 공격자가 조작된 페이로드를 전송하면, 시스템은 요청된 크기보다 더 많은 양의 메모리 데이터를 응답 패킷에 포함하여 반환하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 장비의 UDP 500(IKE) 또는 UDP 4500(IPsec NAT-T) 포트가 열려 있는지 확인한 후, 특수하게 조작된 IKEv1 SA 제안(Proposal) 패킷을 전송합니다. 이 패킷은 정상적인 협상 범위를 벗어난 비정상적인 길이 필드나 속성 값을 포함하고 있습니다. Cisco 장비의 취약한 IKEv1 데몬은 이 요청을 처리하는 과정에서 메모리 버퍼의 경계를 초과하여 인접한 RAM 영역의 데이터를 읽어 들입니다. 이로 인해 공격자는 인증 단계를 거치지 않고도 장비의 휘발성 메모리(RAM)에 저장된 암호화 키, 사전 공유 키(PSK), 현재 세션 정보, 구성 설정 등의 민감한 데이터를 평문으로 탈취할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 공격에 적극적으로 악용된 이력이 있으며, EPSS 점수가 0.87을 상회하여 위협 수준이 매우 높습니다. VPN 게이트웨이나 라우터의 메모리가 노출될 경우, IPsec VPN을 보호하는 사전 공유 키(PSK)나 RSA 개인키가 유출되어 전체 암호화 통신망이 도청당하거나 중간자 공격(MitM)에 노출될 수 있습니다. 이는 기업 내부 망으로의 무단 침입 및 2차 내부 확산(Lateral Movement)으로 이어져 심각한 비즈니스 중단과 데이터 유출 사고를 야기합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The server IKEv1 implementation in Cisco IOS 12.2 through 12.4 and 15.0 through 15.6, IOS XE through 3.18S, IOS XR 4.3.x and 5.0.x through 5.2.x, and PIX before 7.0 allows remote attackers to obtain sensitive information from device memory via a Security Association (SA) negotiation request, aka Bug IDs CSCvb29204 and CSCvb36055 or BENIGNCERTAIN.

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160916-ikev1

출처: psirt@cisco.com · Vendor Advisory

http://www.securityfocus.com/bid/93003

출처: psirt@cisco.com · Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1036841

출처: psirt@cisco.com · Third Party Advisory, VDB Entry

http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160916-ikev1

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

http://www.securityfocus.com/bid/93003

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

http://www.securitytracker.com/id/1036841

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory, VDB Entry

자주 묻는 실무 질문 (FAQ — CVE-2016-6415)

FAQ

Q1. CVE-2016-6415 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2016-6415의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 87.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2016-6415에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 cisco이며, 대상 컴포넌트는 ios, ios_xe, ios_xr, pix_firewall_software입니다. 상세 영향 범위: Cisco IOS 12.2 ~ 12.4 및 15.0 ~ 15.6, IOS XE 3.18S 이하, IOS XR 4.3.x 및 5.0.x ~ 5.2.x, PIX 방화벽 7.0 미만 버전 중 IKEv1 기능이 활성화된 장비

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 영향받는 장비의 펌웨어를 최신 보안 패치가 적용된 버전으로 업그레이드하거나, 불필요한 IKEv1/IPsec 서비스를 비활성화하고 방화벽 ACL을 통해 신뢰할 수 있는 IP만 허용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동