KNX 프로토콜 지원 장치 BCU 키 잠금 취약점 (CVE-2023-4346) 분석 및 대응 가이드
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTKNX 연결 인증(Connection Authorization) 및 옵션 1(Option 1)을 지원하는 KNX 기반 스마트 홈 및 빌딩 자동화 장치
공격자가 네트워크 또는 물리적 접근을 통해 장치에 BCU 키(비밀번호)를 임의로 설정하여 장치를 영구적으로 잠그고 벽돌화(DoS)시킬 수 있음
KNX IP 라우터/인터페이스의 외부 노출을 차단하고, KNX Secure 기능을 활성화하며, 물리적 접근 통제를 강화하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 네트워크 격리 및 접근 통제 (가장 효과적인 완화 조치)
- 인터넷 노출 차단: KNX IP 라우터 및 인터페이스가 공인 인터넷에 직접 노출되지 않도록 방화벽 설정을 확인하십시오.
- VPN 도입: 외부에서 KNX 시스템에 접근해야 하는 경우, 반드시 IPsec 또는 WireGuard 등 안전한 VPN을 통해서만 접근하도록 제한하십시오.
2. KNX Secure 활성화
- KNX IP Secure 및 Data Secure 적용: 통신 패킷의 암호화 및 인증을 지원하는 KNX Secure 프로토콜을 활성화하여 비인가된 사용자의 BCU 키 설정을 차단하십시오.
3. 물리적 보안 강화
- 공격자가 장치에 직접 접근하여 BCU 키를 조작하는 것을 방지하기 위해, KNX 버스 라인 및 장치가 설치된 배전반/함체를 잠금 장치로 보호하십시오.
4. 방화벽 규칙 예시 (포트 차단)
KNX 기본 포트(UDP 3671)에 대한 외부 접근을 차단하는 방화벽 규칙을 적용하십시오.
# iptables를 사용한 외부 KNX 포트 접근 차단 예시
iptables -A INPUT -p udp --dport 3671 -j DROP
# 신뢰할 수 있는 내부 관리자 IP만 허용
iptables -I INPUT -s 192.168.1.100 -p udp --dport 3671 -j ACCEPT반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2023-4346)은 KNX 연결 인증(Connection Authorization) 및 옵션 1을 지원하는 KNX 장치에서 발생하는 설계 및 구현상의 취약점입니다.
KNX 장치에는 장치 보호를 위해 비밀번호를 설정하는 BCU(Bus Coupling Unit) 키 기능이 존재합니다. 그러나 많은 KNX 장치 구현체에서 현재 설정된 BCU 키를 입력하지 않으면 이를 초기화하거나 재설정할 수 없는 구조적 한계가 존재합니다.
공격자가 로컬 네트워크 또는 인터넷을 통해 KNX 장치에 접근할 수 있는 경우, 추가적인 보안 옵션이 활성화되어 있지 않은 장치들을 초기화(Purge)한 뒤 임의의 BCU 키를 설정하여 장치를 완전히 잠가버릴 수 있습니다. 이 경우 사용자는 장치에 접근할 수 없게 되며, 하드웨어 자체를 교체해야 하는 영구적 서비스 거부(DoS) 상태에 빠지게 됩니다. 이 취약점은 네트워크 접근뿐만 아니라 장치에 대한 물리적 접근을 통해서도 동일하게 악용될 수 있습니다.
특히 본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 악용된 이력이 확인되었으므로 신속한 조치가 필요합니다.
공식 보안 권고문 및 참조 링크
KNX devices that use KNX Connection Authorization and support Option 1 are, depending on the implementation, vulnerable to being locked and users being unable to reset them to gain access to the device. The BCU key feature on the devices can be used to create a password for the device, but this password can often not be reset without entering the current password. If the device is configured to interface with a network, an attacker with access to that network could interface with the KNX installation, purge all devices without additional security options enabled, and set a BCU key, locking the device. Even if a device is not connected to a network, an attacker with physical access to the device could also exploit this vulnerability in the same way.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.