Cisco IOS XE Web UI 원격 권한 상승 및 시스템 장악 취약점 (CVE-2023-20198)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWeb UI 기능이 활성화되고 외부 인터넷에 노출된 Cisco IOS XE 소프트웨어 구동 장비
인증되지 않은 원격 공격자가 최상위 권한(Privilege 15) 계정을 생성한 후, 시스템 루트(Root) 권한을 획득하여 악성 임플란트를 설치하고 장비를 완전히 장악할 수 있습니다
즉시 Web UI 기능을 비활성화하거나 신뢰할 수 있는 IP 대역으로만 접근을 제한하고, 최신 권장 소프트웨어 버전으로 업그레이드를 수행하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Cisco 공식 권고문을 참조하여 사용 중인 장비 플랫폼에 맞는 최신 수정 버전(Fixed Release)으로 소프트웨어 이미지를 업그레이드하십시오.
# TFTP 서버로부터 안전한 최신 IOS XE 이미지 다운로드 및 설치 예시
Router# copy tftp: flash:
Address or name of remote host? 192.168.1.100
Source filename? cat9k_iosxe.17.09.04a.SPA.bin
Destination filename [cat9k_iosxe.17.09.04a.SPA.bin]?
# 부팅 경로 설정 및 저장
Router(config)# boot system flash:cat9k_iosxe.17.09.04a.SPA.bin
Router(config)# end
Router# write memory
Router# reload2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 외부 노출을 차단하기 위해 Web UI 기능을 즉시 비활성화하십시오.
# 글로벌 설정 모드 진입 후 HTTP 및 HTTPS 서버 기능 비활성화
Router# configure terminal
Router(config)# no ip http server
Router(config)# no ip http secure-server
Router(config)# end
Router# write memory만약 업무상 Web UI 사용이 필수적인 경우, 특정 관리자 IP 대역에서만 접근할 수 있도록 액세스 제어 리스트(ACL)를 적용하십시오.
# 신뢰할 수 있는 관리자 대역(예: 10.10.10.0/24)만 허용하는 ACL 설정
Router(config)# ip access-list standard MGMT_ACL
Router(config-std-nacl)# permit 10.10.10.0 0.0.0.255
Router(config-std-nacl)# deny any log
Router(config-std-nacl)# exit
# HTTP/HTTPS 서버에 ACL 적용
Router(config)# ip http access-class MGMT_ACL
Router(config)# ip http secure-active-academic
Router(config)# end
Router# write memory3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
장비에 비인가 계정이 생성되었는지 확인하고, 시스템 로그에서 의심스러운 웹 접속 이력을 점검하십시오.
# 1. 비인가된 Privilege 15 로컬 사용자 계정 존재 여부 확인
Router# show run | include username
# 2. 최근 웹 UI를 통한 비인가 접속 및 설정 변경 로그 확인
Router# show logging | include %SYS-5-CONFIG_I|%SEC_LOGIN
# 3. 외부에서 장비의 임플란트 활성화 여부를 점검하는 curl 명령 (외부 터미널에서 수행)
# 임플란트가 존재할 경우 특정 16진수 문자열이 반환됩니다.
$ curl -k -X POST https://[장비_IP]/webui/logout -d '{"test":"test"}'반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2023-20198)은 Cisco IOS XE 소프트웨어의 Web UI(HTTP/HTTPS 서버) 기능에서 발생하는 심각한 권한 제어 우회 취약점입니다. 입력값 검증 및 접근 제어 로직의 결함(CWE-420)으로 인해, 인증되지 않은 원격의 공격자가 HTTP 요청을 조작하여 인증 단계를 완전히 우회하고 시스템 관리 명령을 실행할 수 있는 상태가 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
실제 위협 행위자는 본 취약점과 또 다른 제로데이 취약점인 CVE-2023-20273을 연쇄적으로 결합하여 공격을 수행했습니다. 1단계(초기 침투): 공격자는 CVE-2023-20198을 악용하여 인증 없이 Web UI에 접근한 뒤, 최고 권한 레벨인 'Privilege 15'를 가진 로컬 사용자 계정을 강제로 생성합니다. 2단계(권한 상승 및 영속성 확보): 생성된 계정으로 로그인한 후, Web UI의 또 다른 취약점(CVE-2023-20273)을 악용하여 기본 리눅스 운영체제의 루트(Root) 권한으로 상승합니다. 3단계(임플란트 설치): 루트 권한을 확보한 공격자는 시스템 파일 시스템에 비인가된 악성 임플란트(Implant)를 작성하여 장비 재부팅 후에도 지속적으로 백도어 접근이 가능하도록 설정합니다.
3. 비즈니스 및 인프라 파급 영향
Cisco IOS XE는 기업망, 데이터 센터 및 기간망 인프라의 핵심 라우터와 스위치에서 광범위하게 사용됩니다. 본 취약점이 성공적으로 익스플로잇될 경우, 공격자는 네트워크 트래픽을 가로채거나 조작할 수 있으며, 내부망으로의 횡적 이동(Lateral Movement)을 위한 교두보를 확보하게 됩니다. CISA KEV(Known Exploited Vulnerabilities)에 등재되고 EPSS 점수가 0.9978에 달할 정도로 실제 야생(In-the-Wild)에서 매우 활발히 악용된 치명적인 위협입니다.
공식 보안 권고문 및 참조 링크
Cisco is providing an update for the ongoing investigation into observed exploitation of the web UI feature in Cisco IOS XE Software. We are updating the list of fixed releases and adding the Software Checker. Our investigation has determined that the actors exploited two previously unknown issues. The attacker first exploited CVE-2023-20198 to gain initial access and issued a privilege 15 command to create a local user and password combination. This allowed the user to log in with normal user access. The attacker then exploited another component of the web UI feature, leveraging the new local user to elevate privilege to root and write the implant to the file system. Cisco has assigned CVE-2023-20273 to this issue. CVE-2023-20198 has been assigned a CVSS Score of 10.0. CVE-2023-20273 has been assigned a CVSS Score of 7.2. Both of these CVEs are being tracked by CSCwh87343.
자주 묻는 실무 질문 (FAQ — CVE-2023-20198)
FAQQ1. CVE-2023-20198 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2023-20198의 기본 점수는 CVSS 10.0 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 99.8%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2023-20198에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 cisco이며, 대상 컴포넌트는 ios xe입니다. 상세 영향 범위: Web UI(HTTP/HTTPS Server) 기능이 활성화된 모든 Cisco IOS XE 소프트웨어 구동 장비
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 즉시 Web UI 기능을 비활성화하거나 신뢰할 수 있는 IP 대역으로만 접근을 제한하고, 최신 권장 소프트웨어 버전으로 업그레이드를 수행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2023-20198 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (cisco)
동일 카테고리 전체 보기 →Cisco ISE 인증 우회 및 원격 관리 권한 탈취 취약점 보안 권고 (CVE-2026-76460)
[영향 대상] Cisco Identity Services Engine (ISE) 특정 버전의 웹 관리 인터페이스 및 API 엔드포인트
Cisco Catalyst SD-WAN 피어링 인증 우회 및 원격 코드 실행 취약점 (CVE-2026-20182)
[영향 대상] Cisco Catalyst SD-WAN Controller(구 vSmart), Manager(구 vManage), Validator(구 vBond) 솔루션
Cisco Secure Firewall Management Center (FMC) 안전하지 않은 역직렬화 취약점 (CVE-2026-20131, CVSS 10.0) - 원격 코드 실행 및 Root 권한 상승
[영향 대상] Cisco Secure Firewall Management Center (FMC) 소프트웨어의 웹 기반 관리 인터페이스.
Cisco Secure Firewall Management Center (FMC) 인증 우회 및 루트 권한 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-20079)
[영향 대상] Cisco Secure Firewall Management Center (FMC) 소프트웨어의 웹 기반 관리 인터페이스
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.