CVE 데이터베이스CVE-2020-15415

최종 갱신 2026-06-17English Advisory →

CVE-2020-154159.8/CRITICALCISA KEV 등재CWE-78CWE-78

DrayTek Vigor 라우터 원격 명령 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2020-15415)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

draytek

대상 컴포넌트 / 패키지

vigor3900, vigor2960, vigor300b

권고문 발행일

2020-06-30

CVSS v3.1

9.8

CRITICAL

30일 악용확률

84.5%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

DrayTek Vigor3900, Vigor2960, Vigor300B 펌웨어 1.5.1 미만 버전

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 HTTP POST 요청을 전송하여 대상 장비에서 루트(root) 권한으로 임의의 시스템 명령을 실행할 수 있습니다

권장 조치

즉시 제조사 공식 웹사이트를 통해 펌웨어를 1.5.1 이상 버전으로 업그레이드하고, 외부 관리 인터페이스 노출을 차단하십시오

영향받는 제품 및 버전 범위

DrayTek Vigor3900, Vigor2960, Vigor300B 장비 중 펌웨어 버전 1.5.1 미만을 사용하는 모든 시스템

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

가장 확실한 해결책은 DrayTek 공식 지원 페이지에서 제공하는 최신 안전 버전(1.5.1 이상)으로 펌웨어를 업그레이드하는 것입니다.

라우터 CLI 환경에서 TFTP 서버를 통해 펌웨어를 안전하게 다운로드하고 적용하는 예시 스크립트입니다:

bash

# 1. TFTP 서버로부터 최신 안전 펌웨어 이미지 다운로드 및 적용 (장비 CLI 환경 예시)
# 주의: 실제 장비 모델명에 맞는 펌웨어 파일명을 사용하십시오.
tftp -g -r v3900_v1.5.1_all.all 192.168.1.100

# 2. 펌웨어 업그레이드 적용 후 시스템 재부팅
sys reboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 불가능한 경우, 외부 인터넷(WAN)으로부터의 웹 관리 인터페이스(HTTP/HTTPS) 접근을 전면 차단해야 합니다. 아래는 라우터 방화벽 설정을 통해 외부 접근을 제한하는 예시 가이드입니다:

bash

# WAN 인터페이스로부터의 웹 관리 포트(80, 443) 접근 차단 설정 예시
# 신뢰할 수 있는 특정 관리자 IP(예: 203.0.113.50)만 허용하고 나머지는 모두 거부

ip access-list extended MGMT_ACL
 permit tcp host 203.0.113.50 any eq 443
 deny tcp any any eq 443
 deny tcp any any eq 80
exit

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 내부 로그에서 취약점 공격 시도 및 침해 흔적을 탐지하기 위한 간단한 쉘 스크립트 예시입니다:

bash

#!/bin/sh
# 웹 서버 액세스 로그에서 cvmcfgupload 호출 및 의심스러운 페이로드 검사
LOG_FILE='/var/log/httpd-access.log'

if [ -f '$LOG_FILE' ]; then
    echo '[*] Checking for CVE-2020-15415 exploitation attempts...'
    # cvmcfgupload 호출 흔적 및 쉘 메타문자 포함 여부 확인
    grep -i 'cvmcfgupload' '$LOG_FILE' | grep -E '(\||;|\&|\`|\$)'
    if [ $? -eq 0 ]; then
        echo '[WARNING] Suspicious activity detected in web logs!'
    else
        echo '[OK] No obvious exploitation attempts found.'
    fi
else
    echo '[!] Log file not found. Please check the web server log path.'
fi

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

CISA KEV 등재 취약점으로 실제 공격에 악용되고 있으므로, DrayTek 장비의 외부 관리 포트 노출을 즉시 차단하고 펌웨어를 1.5.1 이상으로 신속히 업그레이드하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2020-15415)은 DrayTek Vigor 엔터프라이즈 라우터 시리즈의 웹 관리 인터페이스 내 cgi-bin/mainfunction.cgi/cvmcfgupload 엔드포인트에서 발생하는 OS 명령 주입(OS Command Injection, CWE-78) 취약점입니다. 시스템이 파일 업로드 요청을 처리할 때, 사용자가 입력한 파일명 파라미터에 대한 적절한 검증 및 이스케이프 처리를 수행하지 않고 내부 쉘 명령의 인자로 직접 전달하면서 발생합니다. 특히 text/x-python-script Content-Type 헤더가 지정된 상태에서 파일명 내에 쉘 메타문자(예: 세미콜론, 백틱 등)가 포함되어 있을 경우, 웹 서버 권한으로 해당 명령이 그대로 실행되는 구조적 결함을 가지고 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 장비의 웹 관리 포트(기본 TCP 80 또는 443)가 외부 인터넷에 노출되어 있는 경우, 별도의 사용자 인증 없이도 원격에서 공격을 수행할 수 있습니다. 공격 시나리오는 다음과 같습니다:

공격자는 cgi-bin/mainfunction.cgi/cvmcfgupload 엔드포인트로 멀티파트(Multipart) 폼 데이터를 전송합니다.
이때 HTTP 요청 헤더의 Content-Type을 text/x-python-script로 설정하고, 파일명(filename) 파라미터에 실행하고자 하는 리눅스 명령어를 쉘 메타문자(;, &, | 등)와 함께 삽입합니다.
취약한 CGI 스크립트는 파일명을 검증 없이 시스템 명령 문자열에 결합하여 실행하므로, 공격자가 주입한 명령어가 라우터의 최고 권한(root)으로 즉시 실행됩니다.

3. 비즈니스 및 인프라 파급 영향

DrayTek Vigor 시리즈는 주로 중소기업(SMB) 및 지사의 게이트웨이, VPN 집중 장비로 널리 사용됩니다. 본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재될 만큼 실제 야생(In-the-Wild)에서 봇넷 구축 및 초기 침투 경로로 활발히 악용되었습니다. 공격자가 이 취약점을 성공적으로 악용할 경우, 내부 네트워크로의 횡적 이동(Lateral Movement)을 위한 교두보를 확보하게 되며, VPN 계정 탈취, 트래픽 스니핑, DNS 변조를 통한 2차 피싱 공격 등 기업 인프라 전반에 걸쳐 치명적인 비즈니스 중단 및 데이터 유출 사고를 초래할 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

On DrayTek Vigor3900, Vigor2960, and Vigor300B devices before 1.5.1, cgi-bin/mainfunction.cgi/cvmcfgupload allows remote command execution via shell metacharacters in a filename when the text/x-python-script content type is used, a different issue than CVE-2020-14472.

https://github.com/CLP-team/Vigor-Commond-Injection

출처: cve@mitre.org · Exploit

https://www.draytek.com/about/security-advisory

출처: cve@mitre.org · Vendor Advisory

https://github.com/CLP-team/Vigor-Commond-Injection

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit

https://www.draytek.com/about/security-advisory

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-15415

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2020-15415)

FAQ

Q1. CVE-2020-15415 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2020-15415의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 84.5%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2020-15415에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 draytek이며, 대상 컴포넌트는 vigor3900, vigor2960, vigor300b입니다. 상세 영향 범위: DrayTek Vigor3900, Vigor2960, Vigor300B 장비 중 펌웨어 버전 1.5.1 미만을 사용하는 모든 시스템

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 즉시 제조사 공식 웹사이트를 통해 펌웨어를 1.5.1 이상 버전으로 업그레이드하고, 외부 관리 인터페이스 노출을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동