Ivanti VPN 추가 결함 악용 확인…13일 패치 뒤에도 수정판 재점검

VPN은 외부의 직원이 회사 내부 자원에 접속하도록 통신 경로를 제공하는 방식입니다. Connect Secure는 그 접속을 받는 회사 측 장비입니다. 개인 노트북과 사내 시스템 사이에 있으므로 이 장비를 장악한 공격자는 내부 연결과 인증 정보에 접근할 발판을 얻을 수 있습니다.

보안 조사 업체 Volexity는 조사한 침해에서 장비 설정과 계정 자료 수집, 통신 기록 분석, 내부 계정에 대한 비밀번호 대입을 관측했다고 보고했습니다. 다음 그림은 그 보고의 위험을 설명하는 도식이며, 모든 도입 회사에서 같은 피해가 확인됐다는 뜻은 아닙니다. Volexity 조사

%% 접속 관문 침해의 영향 · 조사된 공격의 위험을 단순화
flowchart TD
  A["인터넷에 노출된 취약 VPN 장비"] --> B["공격자가 장비에서 명령 실행"]
  B --> C["계정 정보·설정·통신 자료 수집"]
  C --> D["내부 계정 접근 시도·자료 유출"]

인증은 ‘누구인지 확인하기’, 권한은 ‘그 사람이 할 수 있는 일의 범위’입니다. 조사된 공격은 외부 요청으로 인증 경계를 넘은 뒤 파일을 놓고 실행하는 경로와 장비 내부의 권한 상승을 연결합니다. root는 장비 전체를 다룰 수 있는 최고 관리자 권한입니다.

개별 항목의 ‘인증 필요’를 전체 공격에도 비밀번호가 반드시 필요하다는 뜻으로 읽으면 안 됩니다. 앞선 우회가 뒤 단계의 발판을 만들 수 있습니다. 반대로 뒤의 두 결함을 각각 단독 미인증 원격 실행 결함이라고 부르는 것도 부정확합니다. 제조사 조건

제조사 표에서 25.1.1.2와 22.8R2.5는 첫 결함의 수정판이지만, 29일 추가된 두 결함에는 각각 다음 수정판이 필요합니다. 버전 숫자가 비슷해도 장비 계열과 이동 경로를 함께 봐야 합니다.

25.1.3.0은 7월 출시판이며 ISA4500·6500·8500 등의 새 플랫폼에 관한 경로입니다. 모든 구형 장비에 숫자만 보고 설치할 판이 아닙니다. 22.7 이하는 이번 결함이 없다는 설명이지만 22.7·22.8은 2027년 1월 31일 지원 종료를 앞두고 있습니다. 상세 이동 조건은 제조사 호환 안내를 대조해야 합니다.

패치는 앞으로 같은 결함을 악용하는 경로를 막습니다. 이미 복사된 비밀번호를 없애거나 밖으로 나간 자료를 되돌리지는 않습니다. CISA는 네트워크·메모리 조사가 필요하며, 디스크 파일 변조를 보는 Integrity Checker Tool이 메모리에서 실행된 공격 흔적을 놓칠 수 있다고 경고했습니다.

%% 대응 1 · 앞으로의 침입 경로 차단, 아래 조사와 함께 진행
flowchart TD
  A["제품·버전·노출 여부 파악"] --> B["호환되는 수정판 적용"]

%% 대응 2 · 패치와 별도로 과거 침입 조사, CISA 경보의 점검 역할
flowchart TD
  A["같은 장비의 과거 노출 파악"] --> B["통신·메모리 증거 조사<br/>계정·자료 유출 흔적 확인"]

침해가 의심되면 담당자는 증거 보존과 서비스 영향을 검토한 뒤 공식 복구 절차를 따라야 합니다. 그 절차에는 장비 초기화 또는 가상 장비 재구축, 업데이트, 계정 비밀번호·인증서·키 교체가 포함됩니다. 조사 전에 무작정 초기화하라는 개인 PC용 지침으로 읽지 마세요. KEV의 11월 2일·13일 기한은 미국 연방기관 대응 항목이며, 모든 이용자가 그때까지 기다려도 된다는 유예기간이 아닙니다. CISA 경보