데일리 · 기사 01 · 3 분 읽기
- 보안
SonicWall 원격 접속 취약점 악용 확인
11월 7일 JST 보도 범위 · CISA 목록의 추가 날짜 11월 6일 · 11월 8일 JST 확인
요약·개요
다른 인증 방식의 유효한 자격 증명으로 회사 로그인 확인과 추가 인증을 우회할 수 있습니다. 장비 세대별 수정판과 적용 확인 방법을 정리했습니다.
재택근무자가 사내 파일을 열 때, 방화벽의 원격 접속 기능이 회사 밖과 내부망을 연결합니다. 이때 방화벽이 어느 로그인 확인을 요구하느냐에 따라 같은 계정에도 다른 보호가 적용될 수 있습니다.
핵심 팩트
미국 사이버 보안 기관 CISA는 11월 6일자 목록에 SonicWall 방화벽의 원격 접속 취약점 CVE-2026-19868을 실제 악용이 확인된 항목으로 추가했습니다. SonicWall에 따르면 다른 인증 방식의 유효한 자격 증명을 가진 사람이 회사 로그인 서비스의 SAML 확인을 우회할 수 있으며, 그 경로에서 요구하는 추가 인증도 건너뛸 수 있습니다. 영향 대상은 Gen 7·Gen 8의 일부 SonicOS 버전입니다. CISA 목록 · SonicWall의 CVE 등록 내용
1. 다른 로그인 경로가 왜 중요한가
SSL VPN은 회사 밖에서 내부망에 접속하는 통로입니다. SAML은 회사 로그인 서비스가 “이 사람의 신원을 확인했다”는 결과를 방화벽에 전달하는 방식입니다. 예를 들어 회사 로그인 서비스가 비밀번호와 휴대전화 승인 둘을 확인하면, 휴대전화 승인이 추가 인증입니다. 방화벽이 다른 인증 경로의 유효한 자격 증명으로 접속을 허용하면서 SAML 확인을 거치지 않으면, 휴대전화 승인도 요구되지 않을 수 있습니다. 아래는 공급자가 공개한 조건을 단순화한 예입니다.
| 로그인 경로 | 어떤 확인을 거치나 | 결과 |
|---|---|---|
| 정상 경로 | 회사 로그인 서비스에서 휴대전화 승인 | 방화벽이 SAML 확인을 받고 접속 허용 |
| 취약한 경우 | 다른 인증 방식의 유효한 자격 증명 | SAML 확인과 그 경로의 추가 인증을 건너뛸 수 있음 |
- 로그인 경로
정상 경로
- 어떤 확인을 거치나
- 회사 로그인 서비스에서 휴대전화 승인
- 결과
- 방화벽이 SAML 확인을 받고 접속 허용
- 로그인 경로
취약한 경우
- 어떤 확인을 거치나
- 다른 인증 방식의 유효한 자격 증명
- 결과
- SAML 확인과 그 경로의 추가 인증을 건너뛸 수 있음
고양이와 풀어보기 Q&A
고양이 연구원회사 로그인에 휴대전화 승인을 설정했다면 어디를 더 봐야 해?
포켓 노트방화벽에서도 SSL VPN에 어떤 인증 방식이 허용되는지 확인하세요. 회사 로그인에서 설정한 추가 인증은 그 확인 절차를 거치는 접속을 보호합니다.
2. 우리 장비의 버전 확인
SonicOS는 방화벽에서 실행되는 소프트웨어입니다. 방화벽 담당자는 먼저 장비 세대를 확인하고, 현재 실행 중인 버전을 해당 행과 비교합니다. 공급자의 영향·수정 버전표와 Gen 8 릴리스 문서를 함께 확인했습니다. SonicWall 버전 안내 · Gen 8 릴리스 문서
| 장비 세대 | 영향 버전 | 공급자 발표 · 수정판 확인 | 실제 적용 · 담당자가 확인 |
|---|---|---|---|
| Gen 7 | 7.3.3-7015 및 이전 | 7.3.4-7013 이상 | 장비의 실행 버전으로 확인 |
| Gen 8 | 8.2.2-8015 및 이전 | 8.2.3-8015 | 장비의 실행 버전으로 확인 |
- 장비 세대
Gen 7
- 영향 버전
- 7.3.3-7015 및 이전
- 공급자 발표 · 수정판 확인
- 7.3.4-7013 이상
- 실제 적용 · 담당자가 확인
- 장비의 실행 버전으로 확인
- 장비 세대
Gen 8
- 영향 버전
- 8.2.2-8015 및 이전
- 공급자 발표 · 수정판 확인
- 8.2.3-8015
- 실제 적용 · 담당자가 확인
- 장비의 실행 버전으로 확인
고양이와 풀어보기 Q&A
- 고양이 연구원
업데이트 파일을 받아 뒀으면 조치가 끝난 거야?
포켓 노트장비에서 수정판이 실행되는 것을 확인해야 합니다. 교체용 장비가 있다면 그 장비도 확인하고 적용 시간을 기록하세요.
3. 패치 적용과 이전 접속 확인
수정판을 적용하면 앞으로 해당 취약점을 통한 우회를 막을 수 있습니다. 적용 전 접속은 별도로 확인해야 합니다. CISA는 실제 악용을 목록에 기록했지만 그 항목에는 피해 장비나 공격에 쓰인 계정 목록이 없습니다. 장비 담당자는 방화벽의 VPN 접속 기록과 회사 로그인 서비스의 인증 기록을 함께 살펴볼 수 있습니다. 기록에서 먼저 찾을 것은 의심스러운 접속의 계정과 시간입니다.
| 확인 시점 | 담당자가 볼 기록 | 무엇을 확인하나 |
|---|---|---|
| 현재 | 방화벽의 실행 버전 | 수정판이 실제로 실행 중인가 |
| 패치 전 | VPN 접속 기록과 회사 로그인 기록 | 추가 확인이 필요한 과거 접속이 있는가 |
- 확인 시점
현재
- 담당자가 볼 기록
- 방화벽의 실행 버전
- 무엇을 확인하나
- 수정판이 실제로 실행 중인가
- 확인 시점
패치 전
- 담당자가 볼 기록
- VPN 접속 기록과 회사 로그인 기록
- 무엇을 확인하나
- 추가 확인이 필요한 과거 접속이 있는가
고양이와 풀어보기 Q&A
- 고양이 연구원
VPN 접속은 있는데 회사 로그인 기록이 없으면 침입이 확정돼?
포켓 노트추가 조사가 필요한 단서입니다. 두 기록의 시간대와 보존 기간, 그 계정에 허용된 로그인 방식부터 맞춰 보세요.
마무리
운영팀에 확인할 두 가지
SonicWall 장비로 원격 접속을 운영한다면 담당자에게 현재 실행 버전과 수정 전 접속 기록의 검토 여부를 함께 확인하세요.
출처
- CISA 목록cisa.gov
- SonicWall의 CVE 등록 내용cveawg.mitre.org
- SonicWall 버전 안내sonicwall.com
- Gen 8 릴리스 문서sonicwall.com