관리자 페이지 요청 하나로 공유기가 넘어가는 순간, DD-WRT 스택 오버플로 CVE-2021-27137 방어 관점 정리

이미지 출처: CISA KEV

사무실 구석이나 창고 랙 위, 초록 불빛을 깜빡이며 몇 년째 조용히 돌아가는 공유기 한 대. 대부분의 사람에게 그건 '한 번 설정하고 잊는 물건'입니다. 그런데 공격자에게 그 상자는 회사 안팎을 잇는 관문이자, 한 번 잡으면 트래픽을 훔쳐보고 내부로 발을 들이는 발판이 되죠. 오늘 볼 CVE-2021-27137은 오픈소스 라우터 펌웨어인 DD-WRT에서 보고된 스택 기반 버퍼 오버플로 취약점입니다. 화려한 제로데이 이야기는 아니지만, '방어자가 임베디드 장비를 어떻게 바라봐야 하는가'를 연습하기에 이만한 교보재가 없다고 생각합니다.

핵심 요약

• DD-WRT의 웹 관리 인터페이스가 입력값을 고정 크기 스택 버퍼로 복사하는 과정에서 경계 검사가 부족해 스택 오버플로가 발생하는 결함임.
• 임베디드 라우터는 스택 카나리·ASLR 같은 완화장치가 약하거나 없어, 오버플로가 곧바로 제어권 탈취로 이어지기 쉬움.
• 방어의 핵심은 펌웨어 최신화, 관리 인터페이스의 외부 노출 차단, 그리고 장비 앞단에서의 이상 요청 탐지임.

무슨 취약점인가

DD-WRT는 시중 공유기의 순정 펌웨어를 걷어내고 올려 쓰는 리눅스 기반 대체 펌웨어로, 세밀한 네트워크 제어 때문에 애호가와 소규모 사업장에서 꾸준히 쓰입니다. 문제가 된 지점은 장비를 웹으로 관리하는 httpd 계열 관리 인터페이스입니다. 사용자가 브라우저로 보낸 요청의 특정 필드를 프로그램이 고정된 크기의 스택 버퍼로 복사하면서, 입력 길이가 버퍼 크기를 넘어서는지 제대로 확인하지 않는 구조가 핵심입니다. 정확한 영향 버전이나 점수는 공개 자료에 따라 편차가 있으니 여기서 단정하지 않겠지만, 취약점의 성질 자체는 전형적입니다.

스택 오버플로가 라우터에서 유독 무서운 이유

같은 버그라도 데스크톱 OS와 임베디드 장비에서의 무게가 다릅니다.

• 일반 서버·PC는 스택 카나리, ASLR, DEP 같은 완화 기법이 겹겹이 깔려 있음. 반면 저사양 라우터 펌웨어는 이런 장치가 꺼져 있거나 아예 없는 경우가 많음.
• 서비스가 대개 root 권한으로 돌기 때문에, 코드 실행이 성립하면 곧 장비 전체 장악으로 직결됨.
• 공유기는 '항상 켜져 있고, 아무도 안 보는' 장비임. 침해 후에도 오래 눈에 안 띄어 지속 거점으로 악용되기 좋음.

공격 흐름은 개념만 짚고 넘어감

실행 가능한 페이로드는 다루지 않되, 방어에 필요한 만큼만 그림을 그려봄. ①공격자가 관리 인터페이스에 접근 가능한 위치를 확보함(외부 노출된 원격 관리, 혹은 내부망 진입 후) → ②취약한 요청 필드에 버퍼 한계를 넘는 과도한 길이의 데이터를 실어 보냄 → ③반환 주소 등 스택의 제어 정보가 덮이며 프로그램 흐름이 공격자 의도대로 꺾임 → ④완화장치가 없으면 임의 코드 실행 혹은 최소한 서비스 중단으로 이어짐. 요점은 '신뢰할 수 없는 입력이 검증 없이 메모리 경계를 넘는다'는 한 문장으로 압축됨.

어떻게 탐지하는가

• 웹 접근 로그에서 관리 URL로 향하는 비정상적으로 긴 파라미터·헤더 값과 반복적인 실패 요청을 살핌. 정상 관리 요청은 길이가 대체로 일정함.
• 장비 앞단 IDS/IPS나 방화벽에서 관리 포트로 들어오는 외부 출처 트래픽 자체를 이상 신호로 취급함.
• 라우터가 갑자기 재부팅되거나 httpd가 반복적으로 죽는 크래시 패턴은 오버플로 시도의 부산물일 수 있으니 로그·업타임을 주기적으로 확인함.
• 펌웨어가 원격 로그 전송을 지원한다면 중앙 수집으로 돌려, 장비 로컬 로그만 믿지 않도록 함.

어떻게 완화하는가

• 펌웨어 최신화가 1순위. 임베디드 장비는 패치 주기가 길고 자동 갱신이 없는 경우가 많아, 자산 목록을 만들어 수동으로라도 챙겨야 함.
• 원격 관리(WAN 측 관리 접속)를 반드시 끔. 관리 인터페이스는 내부망에서만 접근하도록 제한하는 것만으로 공격 표면이 크게 줄어듦.
• 관리 접근을 특정 관리용 VLAN·IP로만 허용하고, 기본 계정·약한 비밀번호를 정리함.
• 더 이상 업데이트가 끊긴 노후 장비는 과감히 교체 대상에 올림. '아직 동작하니까'가 가장 흔한 방치의 이유임.
• 공유기를 네트워크 경계의 신뢰 지점으로 두지 말고, 그 뒤에도 세그먼트 분리와 모니터링을 겹쳐 두는 심층 방어를 지향함.