DD-WRT UPnP SSDP 버퍼 오버플로우 취약점 (CVE-2021-27137) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTUPnP 기능이 활성화된 45724 미만 버전의 DD-WRT 펌웨어 구동 공유기 및 네트워크 장비
인증되지 않은 원격 공격자가 특수하게 조작된 SSDP M-SEARCH 요청을 전송하여 대상 장비에서 임의 코드를 실행하거나 시스템을 다운시킬 수 있으며, 실제 봇넷(c0xmo 등) 악용 사례가 확인되었습니다 [1, 2, references]
DD-WRT 펌웨어를 45724 이상 버전으로 즉시 업데이트하고, 패치 적용 전까지 UPnP 기능을 비활성화하십시오 [1, references]
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 펌웨어 업데이트 (권장)
DD-WRT 공식 소스코드 변경사항(Changeset 45724)이 반영된 최신 안정화 버전의 펌웨어로 업그레이드하십시오 [references].
2. 임시 완화 조치 (패치 적용이 어려운 경우)
DD-WRT는 기본적으로 UPnP 기능이 비활성화되어 있으며 내부 인터페이스에서만 수신 대기하지만, 활성화하여 사용 중인 경우 즉시 비활성화해야 합니다.
DD-WRT 웹 관리 콘솔 설정:
- DD-WRT 웹 GUI 접속 (
http://192.168.1.1등) - NAT / QoS -> UPnP 탭으로 이동
- UPnP Service 항목을 Disable로 변경
- 페이지 하단의 Save 및 Apply Settings 클릭
CLI 명령어를 통한 비활성화 (SSH/Telnet):
# UPnP 서비스 비활성화 및 설정 저장
nvram set upnp_enable=0
nvram commit
# 관련 프로세스 중지 (또는 장비 재부팅)
killall upnpd반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2021-27137)은 오픈소스 라우터 펌웨어인 DD-WRT의 UPnP(Universal Plug and Play) 처리 구성 요소(router/upnp/src/ssdp.c)에서 발생하는 스택 기반 버퍼 오버플로우(CWE-121) 취약점입니다.
취약점 원인 및 공격 메커니즘
- 안전하지 않은 함수 사용: SSDP(Simple Service Discovery Protocol) 메시지를 처리하는
ssdp_msearch함수 내에서 입력값의 길이를 검증하지 않고strcpy함수를 사용하여 고정된 크기의 내부 버퍼로 데이터를 복사합니다. - 공격 벡터: 공격자는 UDP 포트 1900번으로 조작된 SSDP
M-SEARCH멀티캐스트/유니캐스트 요청을 전송합니다. 이 요청 헤더에 비정상적으로 긴 문자열을 포함시켜 전송하면, 스택 메모리의 반환 주소(Return Address) 영역이 덮어씌워지게 됩니다. - 실제 위협 상황: 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며, Gafgyt 변종인
c0xmo봇넷 등이 취약한 장비를 장악하고 타사 악성코드를 제거하는 등의 공격에 적극적으로 악용하고 있습니다 [references].
공식 보안 권고문 및 참조 링크
An issue was discovered in router/upnp/src/ssdp.c in DD-WRT before 45724. An unsafe strcpy in the UPnP handling functionality allows an unauthenticated remote attacker to send a request that would overflow an internal fixed buffer. Exploitation requires the DD-WRT user to enable UPnP (which is off by default, and only listens on internal interfaces by default). This occurs in ssdp_msearch (reachable by an M-SEARCH request).
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.