엔터프라이즈 SSL-VPN 데몬 인증 우회 및 원격 코드 실행 취약점 (CVE-2026-21440)

1. 권장 펌웨어 즉시 업그레이드 벤더에서 배포한 보안 패치 버전(7.4.6 이상 또는 7.2.10 이상)으로 즉시 업그레이드하고, 패치 전후 관리자 계정 비밀번호 및 SSL 인증서를 재발급하십시오.

2. 즉시 적용 가능한 임시 우회 명령어 (CLI Workaround) 점검 시간 확보 전까지 SSL-VPN 웹 포털 모드를 비활성화하고 지정된 IP 대역만 접근하도록 CLI에서 즉시 제한하십시오:

config vpn ssl settings
  set web-mode disable
  set source-address "CORP_TRUSTED_IP_RANGE"
end

3. 침해 흔적(IoC) 긴급 점검 * `/data/lib/` 또는 메모리 파일시스템 내 비정상 바이너리 생성 여부 확인 * VPN 데몬 크래시 로그(`sslvpnd crashed`)가 반복 발생한 시점의 접속 IP 추적

취약점 발생 원리 (Heap-based Buffer Overflow) 이 취약점(`CWE-787`)은 SSL-VPN 웹 포털 데몬이 청크 인코딩(Chunked Transfer-Encoding)된 HTTP 요청 헤더의 길이 값을 검증할 때 정수 오버플로 및 힙 버퍼 오버플로가 발생하는 문제입니다.

• 사전 인증 불필요 (Pre-Auth): 로그인 세션 없이 VPN 포트에 도달할 수만 있으면 공격이 성립합니다.
• 메모리 오염 및 ROP 체인 실행: 조작된 페이로드를 통해 데몬 프로세스의 함수 포인터를 덮어써 임의의 쉘 명령을 실행하거나 웹쉘(Webshell)을 마운트합니다.
• 실제 공격 동향: 랜섬웨어 초기 침투 브로커(IAB)들이 쇼단(Shodan)으로 노출된 장비를 스캔하여 24시간 내에 자격증명 탈취를 시도하고 있습니다.