Oray Pugongying X5 Pro 라우터 API 권한 검증 미흡 취약점 (CVE-2026-120224)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTOray Pugongying X5 Pro 라우터 7.6.1 이하 버전
낮은 권한을 가진 계정(Restricted Account)이 API 권한 검증 우회를 통해 공장 초기화(Factory Reset) 등 민감한 관리자 기능을 원격으로 실행할 수 있습니다
취약한 API 엔드포인트에 대한 외부 접근을 차단하고, 벤더사의 공식 패치가 제공되기 전까지 임시 완화 조치(ACL 설정 및 관리 페이지 비활성화)를 적용하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
현재 벤더사(Oray)가 보안 취약점 제보에 응답하지 않은 상태이므로 공식 패치가 출시되지 않았습니다. 추후 패치 릴리스 시 펌웨어 업데이트를 즉시 적용해야 합니다. 펌웨어 다운로드 및 적용은 아래와 같이 CLI 환경에서 수행할 수 있습니다.
# 펌웨어 업데이트 스크립트 예시 (공식 패치 배포 시 적용)
curl -O https://pgy.oray.com/download/firmware/pgy-x5-pro-latest.bin
# 라우터 관리 도구를 통한 펌웨어 플래싱
sysupgrade -v pgy-x5-pro-latest.bin2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
공식 패치가 제공되기 전까지는 외부(WAN)에서 라우터 관리 페이지 및 API 엔드포인트(/api/v1/run_apis_by_json 등)에 접근하지 못하도록 방화벽 규칙을 설정해야 합니다.
# iptables를 이용한 외부 관리 포트(예: 80, 443) 차단 및 신뢰할 수 있는 IP만 허용
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP
# API 엔드포인트에 대한 비정상적인 JSON 배치 요청 차단 규칙 (Nginx 리버스 프록시 사용 시)
# nginx.conf 내 location 블록 설정
# location ~* /(run_apis_by_json|run_async_task) {
# deny all;
# }3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
라우터의 웹 서버 로그에서 권한이 낮은 계정이 비동기 작업 및 JSON 배치 API를 호출한 흔적이 있는지 검사합니다.
# 웹 서버 액세스 로그에서 취약한 API 호출 이력 검색
grep -E 'run_apis_by_json|run_async_task' /var/log/lighttpd/access.log /var/log/nginx/access.log
# 현재 실행 중인 펌웨어 버전 확인
cat /etc/openwrt_release | grep -i 'DISTRIB_RELEASE'반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2026-120224)은 Oray Pugongying X5 Pro 라우터의 API 권한 부여(Authorization) 컴포넌트 내 run_apis_by_json 및 run_async_task 함수에서 발생합니다. 시스템이 인입되는 API 요청에 대해 적절한 권한 검증(Improper Authorization, CWE-285)을 수행하지 않아, 제한된 권한을 가진 사용자 계정으로도 관리자 수준의 민감한 API를 호출할 수 있는 결함이 존재합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 먼저 라우터의 일반 사용자 또는 제한된 권한의 계정 세션을 획득합니다. 이후 run_apis_by_json 또는 run_async_task 엔드포인트로 조작된 JSON 배치 요청을 전송합니다. 이 요청 본문에 공장 초기화(Factory Reset)와 같은 고권한 시스템 명령 API를 포함시키면, 백엔드 엔진이 요청자의 실제 권한 레벨을 검증하지 않고 해당 비동기 작업을 그대로 실행하게 됩니다. 현재 이 취약점에 대한 개념 증명(PoC) 및 익스플로잇 정보가 공개된 상태입니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CVSS 9.9의 심각한(Critical) 등급으로 평가되었습니다. 공격자가 이 취약점을 악용할 경우, 기업 네트워크의 핵심 게이트웨이 역할을 하는 라우터를 원격에서 강제로 공장 초기화하여 비즈니스 연속성을 완전히 중단시킬 수 있습니다. 또한, 권한 우회를 통해 라우터 설정을 임의로 변경하거나 내부 네트워크로의 추가 침투 경로를 확보할 위험이 존재합니다.
공식 보안 권고문 및 참조 링크
A security flaw has been discovered in Oray Pugongying X5 Pro up to 7.6.1. Affected is the function run_apis_by_json/run_async_task of the component API Authorization. The manipulation results in improper authorization. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
자주 묻는 실무 질문 (FAQ — CVE-2026-120224)
FAQQ1. CVE-2026-120224 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2026-120224의 기본 점수는 CVSS 9.9 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 0.4%입니다. 외부 네트워크 노출 여부에 따라 선제적인 패치 및 접근 제어가 권장됩니다.
Q2. CVE-2026-120224에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 oray이며, 대상 컴포넌트는 pugongying x5 pro입니다. 상세 영향 범위: Oray Pugongying X5 Pro 라우터 7.6.1 및 이하 버전 (API Authorization 컴포넌트)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] 취약한 API 엔드포인트에 대한 외부 접근을 차단하고, 벤더사의 공식 패치가 제공되기 전까지 임시 완화 조치(ACL 설정 및 관리 페이지 비활성화)를 적용하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2026-120224 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (oray)
동일 카테고리 전체 보기 →Oray Pugongying X5 Pro 라우터 config_restore_ex 경로 이탈 기반 원격 코드 실행 취약점 (CVE-2026-120225)
[영향 대상] Oray Pugongying X5 Pro 라우터 7.6.1 및 이하 버전
Arista VeloCloud Orchestrator (VCO) 원격 코드 실행 및 권한 상승 취약점 긴급 보안 권고 (CVE-2026-93952)
[영향 대상] Arista VeloCloud Orchestrator (VCO) 온프레미스(On-prem) 설치 버전
Cisco ISE 인증 우회 및 원격 관리 권한 탈취 취약점 보안 권고 (CVE-2026-76460)
[영향 대상] Cisco Identity Services Engine (ISE) 특정 버전의 웹 관리 인터페이스 및 API 엔드포인트
SonicWall SMA1000 Work Place 사전 인증 우회 원격 서버 측 요청 위조(SSRF) 취약점 (CVE-2026-83548)
[영향 대상] SonicWall SMA1000 시리즈 어플라이언스의 Work Place 웹 인터페이스
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.