Sophos SG UTM WebAdmin 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2020-25223)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTSophos SG UTM v9.705 MR5 미만, v9.607 MR7 미만, v9.511 MR11 미만 버전의 WebAdmin 인터페이스
인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 전송하여 대상 시스템에서 루트(root) 권한으로 임의의 OS 명령어를 실행할 수 있습니다
즉시 최신 펌웨어 패치 버전(v9.705 MR5, v9.607 MR7, v9.511 MR11 이상)으로 업그레이드하고, WebAdmin 포트(TCP 4444)의 외부 노출을 차단하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Sophos 공식 패치가 적용된 최신 펌웨어 버전으로 업그레이드를 수행해야 합니다. UTM 웹 콘솔 또는 SSH CLI를 통해 아래 명령어로 업데이트를 확인하고 적용하십시오.
# SSH 터미널 접속 후 root 권한 획득
# 사용 가능한 펌웨어 업데이트 패키지 확인
audit_firmware_packages --check
# 펌웨어 다운로드 및 설치 프로세스 실행 (시스템 재부팅이 필요할 수 있음)
/sbin/auisys.plx --run2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 외부 인터넷에서 WebAdmin 포트(기본 TCP 4444)로의 접근을 완전히 차단하고 신뢰할 수 있는 내부 IP 대역에서만 접속할 수 있도록 방화벽 규칙(iptables)을 설정해야 합니다.
# 외부 인터페이스(예: eth0)로부터의 WebAdmin 포트(4444) 접속 차단
# 신뢰할 수 있는 관리자 IP(예: 192.168.10.50)만 허용하는 규칙 예시
iptables -A INPUT -p tcp -s 192.168.10.50 --dport 4444 -j ACCEPT
iptables -A INPUT -p tcp --dport 4444 -j DROP3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
WebAdmin 웹 서버 로그에서 비정상적인 세션 요청이나 명령어 주입 흔적이 있는지 점검하십시오.
# WebAdmin 로그 파일에서 의심스러운 메타문자(백틱, 세미콜론, 파이프 등) 검색
grep -E '(\||;|`|\$\()' /var/log/httpd.log
# 현재 설치된 Sophos UTM 버전 확인
cc get system version반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2020-25223)은 Sophos SG UTM 장비의 관리자 웹 인터페이스인 WebAdmin에서 발생하는 OS 명령 주입(OS Command Injection, CWE-78) 취약점입니다. WebAdmin 백엔드에서 사용자 세션 식별자(SID) 및 관련 파라미터를 처리하는 과정에서 입력값 검증 및 이스케이프 처리가 미흡하여 발생합니다. 공격자는 인증을 거치지 않고도 악성 페이로드가 포함된 요청을 전송하여 시스템 셸에 직접 명령어를 주입할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 WebAdmin 포트(기본 TCP 4444)로 접근 가능한 상태에서, 세션 검증을 수행하는 CGI 스크립트나 API 엔드포인트를 대상으로 공격을 수행합니다. 구체적으로, HTTP 요청의 SID(Session ID) 파라미터 또는 특정 입력 필드에 백틱('`')이나 세미콜론(';')과 같은 셸 메타문자를 포함시켜 명령어를 주입합니다. WebAdmin 백엔드는 이 입력을 검증 없이 시스템 명령 실행 함수에 전달하므로, 공격자가 주입한 명령어가 WebAdmin 프로세스의 높은 권한(root)으로 실행되어 시스템 제어권을 완전히 탈취당하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
Sophos SG UTM은 기업 네트워크의 경계 방어 및 게이트웨이 역할을 수행하는 핵심 보안 장비입니다. 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재될 만큼 실제 공격에 활발히 악용되었으며, EPSS 점수가 0.9675(상위 1% 이내)에 달해 매우 위험합니다. 공격자가 이 취약점을 악용할 경우, 방화벽 내부 네트워크로의 횡적 이동(Lateral Movement)을 위한 교두보를 확보할 수 있으며, 내부 트래픽 스니핑, VPN 계정 탈취, 랜섬웨어 유포 등 기업 인프라 전체에 치명적인 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
A remote code execution vulnerability exists in the WebAdmin of Sophos SG UTM before v9.705 MR5, v9.607 MR7, and v9.511 MR11
자주 묻는 실무 질문 (FAQ — CVE-2020-25223)
FAQQ1. CVE-2020-25223 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2020-25223의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2020-25223에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 sophos이며, 대상 컴포넌트는 sg_utm, utm_firmware입니다. 상세 영향 범위: Sophos SG UTM v9.705 MR5 미만, v9.607 MR7 미만, v9.511 MR11 미만 버전 (WebAdmin 기능 활성화 시 영향 받음)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 즉시 최신 펌웨어 패치 버전(v9.705 MR5, v9.607 MR7, v9.511 MR11 이상)으로 업그레이드하고, WebAdmin 포트(TCP 4444)의 외부 노출을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2020-25223 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (sophos)
동일 카테고리 전체 보기 →Arista VeloCloud Orchestrator (VCO) 온프레미스 원격 코드 실행 및 권한 우회 취약점 (CVE-2026-16812)
[영향 대상] 온프레미스(On-Premises) 환경에서 운영되는 VeloCloud Orchestrator (VCO) 전체 버전
Ivanti Sentry OS 명령 주입 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-10520)
[영향 대상] Ivanti Sentry R10.5.2, R10.6.2, R10.7.1 미만 버전
Fortinet FortiSandbox OS 명령 주입 취약점 (CVE-2026-25089) 긴급 보안 권고
[영향 대상] Fortinet FortiSandbox (5.0.0~5.0.5, 4.4.0~4.4.8, 4.2 전 버전), FortiSandbox Cloud 및 PaaS (5.0.4~5.0.5)
Fortinet FortiSandbox OS 명령 주입 취약점 (CVE-2026-39808) 보안 권고
[영향 대상] Fortinet FortiSandbox 버전 4.4.0부터 4.4.8까지의 환경
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.