디링크(D-Link) DIR-823X 공유기 원격 명령 주입 취약점 (CVE-2025-29635) 보안 권고

1. 공식 패치 적용

• 디링크 공식 지원 포털을 방문하여 DIR-823X 모델의 최신 보안 패치가 적용된 펌웨어로 업데이트를 수행하십시오.

2. 임시 완화 조치

공식 패치 적용이 어려운 경우 아래의 조치를 즉시 수행하여 노출 위험을 최소화하십시오.

• 원격 관리 기능 비활성화: 외부 인터넷(WAN) 인터페이스를 통한 웹 관리 페이지(HTTP/HTTPS) 접속 기능을 완전히 비활성화하십시오.
• 강력한 자격 증명 설정: 기본 관리자 비밀번호를 무작위 대입 공격(Brute-force)으로 유추할 수 없는 복잡한 비밀번호로 변경하십시오.
• 네트워크 격리: 관리 인터페이스에 접근할 수 있는 IP 대역을 신뢰할 수 있는 내부 관리용 IP로만 제한하십시오.

3. 침해 지표(IoC) 모니터링

웹 서버 로그에서 아래와 같은 비정상적인 요청 패턴이 발생하는지 모니터링하십시오.

POST /goform/set_prohibiting HTTP/1.1
Host: [Router_IP]
Authorization: Basic [Admin_Credentials]
Content-Type: application/x-www-form-urlencoded

# 요청 바디 내에 세미콜론(;), 백틱(`), 또는 $() 형태의 셸 명령어 주입 흔적 확인

본 취약점(CVE-2025-29635)은 디링크(D-Link) DIR-823X 무선 공유기의 웹 관리 인터페이스 내 /goform/set_prohibiting 엔드포인트에서 발생하는 명령 주입(Command Injection, CWE-77) 취약점입니다.

공격자는 관리자 권한을 획득한 후, 해당 엔드포인트로 특수하게 조작된 파라미터가 포함된 HTTP POST 요청을 전송하여 내부 시스템 명령 실행 루틴을 트리거할 수 있습니다. 입력값에 대한 적절한 검증 및 필터링이 결여되어 있어, 세미콜론(;)이나 파이프(|) 등의 셸 메타문자를 통해 공격자가 의도한 임의의 명령어가 운영체제(OS) 레벨에서 그대로 실행됩니다.

특히 본 취약점은 미라이(Mirai) 봇넷 악성코드 캠페인에 의해 실제 악용되고 있는 것이 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었으며, EPSS 점수가 0.94에 달해 매우 신속한 대응이 요구됩니다.