CVE 데이터베이스CVE-2019-16920

최종 갱신 2026-06-17English Advisory →

CVE-2019-169209.8/CRITICALCISA KEV 등재CWE-78CWE-78

D-Link 라우터 PingTest CGI 미인증 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2019-16920)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

d-link

대상 컴포넌트 / 패키지

dir-655c, dir-866l, dir-652, dhp-1565, dir-855l, dap-1533, dir-862l, dir-615, dir-835, dir-825

권고문 발행일

2019-09-27

CVSS v3.1

9.8

CRITICAL

30일 악용확률

100.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

D-Link 라우터 및 AP 제품군 (DIR-655C, DIR-866L, DIR-652, DHP-1565, DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, DIR-825 등)

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 전송하여 대상 장비에서 OS 명령어를 실행하고 시스템 권한을 완전히 장악할 수 있습니다.

권장 조치

영향받는 장비는 대부분 단종(EoL) 상태이므로 즉시 신규 보안 지원 장비로 교체하거나, 외부 관리 페이지 접속을 차단하고 WAN 인터페이스의 Ping 기능을 비활성화해야 합니다.

영향받는 제품 및 버전 범위

D-Link DIR-655C, DIR-866L, DIR-652, DHP-1565, DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, DIR-825 등 다수의 레거시 라우터 및 AP 모델

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

영향을 받는 대부분의 D-Link 장비는 수명 주기(EoL, End of Life)가 종료되어 공식 보안 패치가 제공되지 않습니다. 따라서 가장 안전하고 권장되는 조치는 최신 보안 업데이트가 지원되는 신규 장비로 교체하는 것입니다. 만약 즉각적인 교체가 불가능한 경우 아래의 임시 완화 조치를 적용해야 합니다.

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

외부 인터넷(WAN)에서 라우터의 웹 관리 페이지 및 원격 관리 기능에 접근하지 못하도록 방화벽 규칙을 설정하고, 내부 신뢰할 수 있는 네트워크(LAN)에서만 접근할 수 있도록 제한합니다.

bash

# iptables를 사용하는 리눅스 기반 방화벽 환경에서 외부(WAN)로부터의 웹 관리 포트(80, 443) 접속 차단 예시
# 'eth0'를 외부 WAN 인터페이스로 가정
iptables -A INPUT -i eth0 -p tcp --dport 80 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 443 -j DROP

# 특정 신뢰할 수 있는 관리자 IP(예: 192.168.1.100)에서만 내부 관리 포트 접근 허용
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

네트워크 트래픽 또는 웹 서버 로그에서 'PingTest' 문자열 및 비정상적인 특수문자가 포함된 요청을 탐지하는 규칙을 적용하거나, 아래의 단순 점검 스크립트를 통해 로컬 네트워크 내 취약한 장비의 활성화 여부를 스캔할 수 있습니다.

bash

#!/bin/bash
# 로컬 네트워크 대역 내 D-Link 취약 엔드포인트 존재 여부 점검 스크립트
TARGET_NET="192.168.1.0/24"

echo '[*] Scanning for potentially vulnerable D-Link PingTest endpoints...'
for ip in $(nmap -p 80,8080 --open -oG - $TARGET_NET | awk '/Up$/{print $2}'); do
  # PingTest CGI 엔드포인트 존재 여부 확인
  status_code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 3 "http://$ip/post_submission.cgi?cmd=PingTest")
  if [ "$status_code" -eq 200 ] || [ "$status_code" -eq 500 ]; then
    echo "[!] WARNING: Potential vulnerable endpoint detected at http://$ip/post_submission.cgi"
  fi
done

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

해당 취약점은 실제 공격에 적극적으로 악용되고 있으며 대상 장비 대부분이 단종되었으므로, 즉시 장비를 신형 모델로 교체하거나 외부 노출을 전면 차단하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2019-16920)은 D-Link 라우터 및 액세스 포인트(AP) 제품군의 웹 관리 인터페이스 내 'PingTest' CGI(Common Gateway Interface) 스크립트에서 발생하는 OS 커맨드 인젝션(Command Injection) 취약점입니다. 시스템 진단 목적으로 제공되는 Ping 기능 구현 과정에서, 사용자로부터 입력받은 IP 주소 또는 호스트명 매개변수에 대한 적절한 검증 및 필터링(Sanitization)을 수행하지 않고 시스템 셸(Shell) 명령어로 직접 전달하여 실행하기 때문에 발생합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 장비의 웹 관리 포트(일반적으로 TCP 80 또는 8080)가 외부 인터넷에 노출되어 있을 경우, 별도의 로그인 인증 과정 없이 'PingTest' CGI 엔드포인트에 직접 접근할 수 있습니다. 공격자는 HTTP POST 요청의 본문(Body) 또는 쿼리 매개변수에 셸 메타문자(예: ;, &&, |)와 함께 실행하고자 하는 악성 명령어를 삽입하여 전송합니다. 장비 내부의 웹 서버는 이 입력을 그대로 시스템 커맨드라인에 결합하여 실행하므로, 공격자는 봇넷 악성코드(예: Mirai, Gafgyt) 다운로드 및 실행, 관리자 비밀번호 변경 등의 임의 명령을 수행할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 3.1 기준 최고 위험도인 9.8(Critical)을 기록하였으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-wild)에서 활발히 악용되고 있음이 확인되었습니다. 공격자가 장비의 제어권을 획득할 경우, 내부 네트워크로의 횡적 이동(Lateral Movement)을 위한 교두보로 활용되거나, 트래픽 스니핑을 통한 민감 정보 탈취, DNS 변조를 통한 피싱 사이트 유도, 그리고 분산 서비스 거부(DDoS) 공격을 수행하는 봇넷의 일부로 악용되어 기업 및 인프라에 심각한 비즈니스 중단 및 평판 손실을 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Unauthenticated remote code execution occurs in D-Link products such as DIR-655C, DIR-866L, DIR-652, and DHP-1565. The issue occurs when the attacker sends an arbitrary input to a "PingTest" device common gateway interface that could lead to common injection. An attacker who successfully triggers the command injection could achieve full system compromise. Later, it was independently found that these are also affected: DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, and DIR-825.

https://fortiguard.com/zeroday/FG-VD-19-117

출처: cve@mitre.org · Broken Link, Third Party Advisory

https://medium.com/%4080vul/determine-the-device-model-affected-by-cve-2019-16920-by-zoomeye-bf6fec7f9bb3

출처: cve@mitre.org · Exploit, Third Party Advisory

https://www.kb.cert.org/vuls/id/766427

출처: cve@mitre.org · Third Party Advisory, US Government Resource

https://www.seebug.org/vuldb/ssvid-98079

출처: cve@mitre.org · Exploit, Third Party Advisory

https://fortiguard.com/zeroday/FG-VD-19-117

출처: af854a3a-2127-422b-91ae-364da2661108 · Broken Link, Third Party Advisory

https://medium.com/%4080vul/determine-the-device-model-affected-by-cve-2019-16920-by-zoomeye-bf6fec7f9bb3

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2019-16920)

FAQ

Q1. CVE-2019-16920 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2019-16920의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2019-16920에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 d-link이며, 대상 컴포넌트는 dir-655c, dir-866l, dir-652, dhp-1565, dir-855l, dap-1533, dir-862l, dir-615, dir-835, dir-825입니다. 상세 영향 범위: D-Link DIR-655C, DIR-866L, DIR-652, DHP-1565, DIR-855L, DAP-1533, DIR-862L, DIR-615, DIR-835, DIR-825 등 다수의 레거시 라우터 및 AP 모델

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 영향받는 장비는 대부분 단종(EoL) 상태이므로 즉시 신규 보안 지원 장비로 교체하거나, 외부 관리 페이지 접속을 차단하고 WAN 인터페이스의 Ping 기능을 비활성화해야 합니다. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동