CVE 데이터베이스CVE-2018-6530

최종 갱신 2026-06-17English Advisory →

CVE-2018-65309.8/CRITICALCISA KEV 등재CWE-78CWE-78

D-Link 무선 라우터 soap.cgi 원격 OS 명령 주입 취약점 (CVE-2018-6530) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

d-link

대상 컴포넌트 / 패키지

dir-880l, dir-868l, dir-865l, dir-860l

권고문 발행일

2018-03-06

CVSS v3.1

9.8

CRITICAL

30일 악용확률

96.7%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

D-Link 라우터 모델 DIR-880L(v1.08B04 이하), DIR-868L(v1.12b04 이하), DIR-865L(v1.08.B01 이하), DIR-860L(v1.10b04 이하) 제품군

파급 효과

인증되지 않은 원격 공격자가 SOAP API 요청의 특정 매개변수를 조작하여 대상 라우터에서 최고 권한(root)으로 임의의 시스템 명령을 실행하고 장치를 완전히 장악할 수 있습니다

권장 조치

제조사에서 제공하는 최신 펌웨어 패치 버전을 적용하거나, 외부 관리 인터페이스(WAN) 접속을 차단하고 장비를 교체하십시오

영향받는 제품 및 버전 범위

D-Link DIR-880L (FW v1.08B04 이하), DIR-868L (FW v1.12b04 이하), DIR-865L (FW v1.08.B01 이하), DIR-860L (FW v1.10b04 이하)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

제조사에서 제공하는 공식 보안 패치 버전으로 펌웨어를 업그레이드해야 합니다. 아래는 각 모델별 최소 안전 버전입니다:

DIR-880L: v1.08B06 이상
DIR-868L: v1.20B01 이상
DIR-865L: v1.10B01 이상
DIR-860L: v1.11B01 이상

펌웨어 업그레이드는 라우터 관리자 페이지(Web GUI)를 통해 수동 업로드 방식으로 진행할 수 있습니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, 외부(WAN)로부터의 관리 페이지 접속을 완전히 차단해야 합니다. 또한 내부 네트워크에서도 신뢰할 수 있는 IP 대역만 관리 페이지에 접근할 수 있도록 방화벽 규칙을 설정하십시오.

bash

# iptables를 이용한 외부(WAN) 인터페이스의 SOAP CGI(80, 443 포트) 접근 차단 예시
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 443 -j DROP

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

네트워크 트래픽에서 soap.cgi를 대상으로 하는 비정상적인 POST 요청 및 쉘 메타문자가 포함된 페이로드를 탐지하는 Snort/Suricata 탐지 룰 예시입니다.

text

alert tcp any any -> any (msg:'D-Link soap.cgi Command Injection Attempt'; flow:established,to_server; content:'POST'; http_method; content:'soap.cgi'; http_uri; content:'service='; http_client_body; pcre:'/service=[^&]*[;`|]/P'; sid:1000001; rev:1;)

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

영향을 받는 D-Link 라우터 모델의 펌웨어를 즉시 최신 보안 패치 버전으로 업데이트하거나, 지원이 종료된 장비는 신규 장비로 교체하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2018-6530)은 D-Link 라우터의 웹 관리 인터페이스에서 동작하는 cgibin 바이너리 내 soapcgi_main 함수(soap.cgi)에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. 외부에서 전달된 입력값에 대한 적절한 검증 및 필터링 없이 시스템 명령 실행 함수(예: system(), popen())의 인자로 직접 전달되어 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 HTTP POST 요청을 통해 soap.cgi 엔드포인트로 악의적인 SOAP 페이로드를 전송합니다. 이때 service 매개변수 내부에 쉘 메타문자(예: ;, &, ` `)와 함께 실행하고자 하는 임의의 OS 명령어를 삽입합니다. soapcgi_main` 루틴은 이 매개변수 값을 그대로 쉘 커맨드라인 문자열에 결합하여 실행하므로, 공격자가 주입한 명령어가 라우터 내부 운영체제(Linux 기반)에서 root 권한으로 즉시 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 9.8의 심각한 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 봇넷 구성 및 악성코드 유포에 적극적으로 악용되고 있습니다. 공격자가 라우터를 장악할 경우 내부 네트워크로의 피벗(Pivot) 공격, DNS 변조를 통한 피싱 유도, 네트워크 트래픽 감청 및 자격 증명 탈취 등 기업 및 개인 인프라에 치명적인 피해를 줄 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

OS command injection vulnerability in soap.cgi (soapcgi_main in cgibin) in D-Link DIR-880L DIR-880L_REVA_FIRMWARE_PATCH_1.08B04 and previous versions, DIR-868L DIR868LA1_FW112b04 and previous versions, DIR-65L DIR-865L_REVA_FIRMWARE_PATCH_1.08.B01 and previous versions, and DIR-860L DIR860LA1_FW110b04 and previous versions allows remote attackers to execute arbitrary OS commands via the service parameter.

ftp://FTP2.DLINK.COM/SECURITY_ADVISEMENTS/DIR-860L/REVA/DIR-860L_REVA_FIRMWARE_PATCH_NOTES_1.11B01_EN_WW.pdf

출처: cve@mitre.org · Release Notes, Vendor Advisory

ftp://FTP2.DLINK.COM/SECURITY_ADVISEMENTS/DIR-868L/REVA/DIR-868L_REVA_FIRMWARE_PATCH_NOTES_1.20B01_EN_WW.pdf

출처: cve@mitre.org · Release Notes, Vendor Advisory

ftp://ftp2.dlink.com/SECURITY_ADVISEMENTS/DIR-865L/REVA/DIR-865L_REVA_FIRMWARE_PATCH_NOTES_1.10B01_EN_WW.pdf

출처: cve@mitre.org · Release Notes, Vendor Advisory

ftp://ftp2.dlink.com/SECURITY_ADVISEMENTS/DIR-880L/REVA/DIR-880L_REVA_FIRMWARE_PATCH_NOTES_1.08B06_EN_WW.pdf

출처: cve@mitre.org · Release Notes, Vendor Advisory

https://github.com/TheBeeMan/Pwning-multiple-dlink-router-via-SOAP-proto

출처: cve@mitre.org · Exploit, Third Party Advisory

ftp://FTP2.DLINK.COM/SECURITY_ADVISEMENTS/DIR-860L/REVA/DIR-860L_REVA_FIRMWARE_PATCH_NOTES_1.11B01_EN_WW.pdf

출처: af854a3a-2127-422b-91ae-364da2661108 · Release Notes, Vendor Advisory

자주 묻는 실무 질문 (FAQ — CVE-2018-6530)

FAQ

Q1. CVE-2018-6530 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2018-6530의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2018-6530에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 d-link이며, 대상 컴포넌트는 dir-880l, dir-868l, dir-865l, dir-860l입니다. 상세 영향 범위: D-Link DIR-880L (FW v1.08B04 이하), DIR-868L (FW v1.12b04 이하), DIR-865L (FW v1.08.B01 이하), DIR-860L (FW v1.10b04 이하)

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 제조사에서 제공하는 최신 펌웨어 패치 버전을 적용하거나, 외부 관리 인터페이스(WAN) 접속을 차단하고 장비를 교체하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동