infiltr8 Lab

CVE-2026-71187 (Ebyte NE2-D11/NA111-M 클라이언트측 인증 우회) 분석

2026-09-05 · ##iot·임베디드 ##인증우회

CVE · IoT·임베디드 · 인증우회 · CVE-2026-71187 [표준]

개요

Ebyte NE2-D11과 NA111-M은 RS-485/시리얼 신호를 이더넷으로 변환해주는 산업용 시리얼 서버 겸 IoT 게이트웨이입니다. 공장·설비 현장의 낡은 시리얼 장비를 IP 네트워크에 붙여주며, 설정은 장치에 내장된 웹 관리 인터페이스로 합니다. 이 취약점의 핵심은 그 웹 인터페이스가 로그인 성공 여부를 서버가 아니라 클라이언트(브라우저에서 도는 로직) 쪽에서 판정한다는 점입니다. 클라이언트가 내리는 판정은 공격자가 관찰하고 그대로 흉내 낼 수 있으므로, 사전 인증이 없는 원격 공격자가 유효해 보이는 인증 요청을 만들어 관리자 접근을 획득할 수 있습니다.

  • CVSS 3.1: 9.8 (Critical), 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 네트워크에서, 낮은 복잡도로, 권한이나 사용자 개입 없이 기밀성·무결성·가용성을 모두 최고 수준으로 무너뜨립니다.
  • CVSS 4.0: 9.3 (Critical), 벡터 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.
  • CWE: CWE-603(클라이언트측 인증 사용). advisory 설명문(“인증 로직이 클라이언트 측에 있어 미인증 사용자가 이를 재현할 수 있다”)과 라벨이 곧바로 맞아떨어집니다.
  • 인증 요구: 없음(unauthenticated), 원격.
  • 영향 제품/버전: Ebyte NE2-D11(펌웨어 FW-9167-0-11)과 Ebyte NA111-M(펌웨어 9013-2-17) 두 제품 라인. 두 제품 모두 같은 클라이언트측 인증 결함으로 이 CVE에 등재됐습니다(⚠️미확인 — 정확한 릴리스 날짜와 다른 영향 버전 범위는 공개되지 않았습니다).
  • 수정 버전: 없음. 벤더가 보고는 접수하고 패치가 “개발 중”이라 밝혔으나 이후 CISA의 후속 조정 요청에 응답하지 않았으며, 발행 시점 기준 가용한 수정 버전은 없습니다(⚠️미확인 — 발행 시점 재확인 대상. 이후 벤더 패치가 나왔을 가능성 배제 불가).
  • 연구자: Jithin Nambiar (CISA advisory 경유 보고).

한 줄 요약: “로그인했나?”라는 물음의 답을 클라이언트가 계산하면, 그 계산은 공격자도 할 수 있습니다. Ebyte 게이트웨이의 인증이 바로 그 자리에 있었습니다.

기술 배경 — “클라이언트측 인증”이 왜 인증이 아닌가

인증의 첫 번째 규칙은 신뢰 경계 안쪽에서 판정하라는 것입니다. 관리자 로그인이 성공했는지 실패했는지의 최종 판단은 공격자가 손댈 수 없는 곳, 즉 서버에서 내려져야 합니다. 서버는 요청에 담긴 자격증명을 자기가 가진 기준과 대조하고, 그 결과로 세션을 발급합니다. 이 과정은 브라우저 밖에서 일어나므로 공격자가 결론을 바꿀 수 없습니다.

문제는 이 판정을 클라이언트로 내려보낼 때 생깁니다. 예를 들어 브라우저에서 도는 스크립트가 입력한 비밀번호를 자체적으로 해시·비교해 “맞음/틀림”을 스스로 결정하고, “맞음”일 때 다음 화면을 열어주거나 미리 알던 토큰을 스스로 만들어내는 식입니다. 이때 서버는 그 결정을 재검증하지 않고 그대로 신뢰합니다. 공격자 입장에서 클라이언트 로직은 공개된 로직입니다. 브라우저로 받은 스크립트를 읽으면 “무엇이 유효한 요청으로 취급되는가”를 그대로 알 수 있고, 브라우저 UI를 거치지 않고 그 유효한 요청을 직접 만들어 보내면 인증을 통과합니다. CWE-603(클라이언트측 인증 사용)이 가리키는 것이 바로 이 “판정이 신뢰 경계 밖에 있는” 구조입니다.

임베디드 장치의 소형 웹 스택은 리소스 제약과 짧은 개발 주기 탓에 이런 설계가 특히 잦습니다. 서버측 세션 관리를 제대로 구현하는 대신, 펌웨어에 내장된 정적 웹 UI가 인증 흐름의 상당 부분을 떠맡는 경우가 있습니다.

CVE 분석 요약 — 무엇이 확실하고 무엇이 열려 있나

먼저 밝혀둘 한계: Ebyte NE2-D11과 NA111-M은 폐쇄형(closed-source) 임베디드 펌웨어입니다. 공개 소스 저장소·고정 커밋 SHA·패치 diff가 존재하지 않습니다. 그래서 이 글에는 실제 오픈소스 코드 파일·라인을 인용한 그림이 없습니다 — 억지로 재구성한 유사 코드는 사실을 왜곡할 수 있어 싣지 않습니다. 인증 로직이 어느 스크립트·어느 요청 필드에서 판정을 내리는지 특정하려면 펌웨어 이미지를 추출해 웹 인터페이스를 역분석해야 하는데, 이는 표준판의 범위 밖(심층판·동적 검증 영역)입니다. 현재 공개된 1차출처 어디에도 구체적 우회 요청·핸들러·함수명은 명시돼 있지 않습니다(⚠️미확인 — 구체 구현은 팩트체크로도 확정되기 어려운 비공개 영역이며, 이 무해화는 의도적입니다).

확실한 사실(1차출처): 장치의 인증 로직이 클라이언트 측에 의존하며, 미인증 사용자가 이를 재현할 수 있고, 그 결과 유효한 인증 요청을 생성해 인증을 우회하고 장치의 관리자 접근을 획득할 수 있다 — 여기까지가 CISA advisory가 명시한 내용입니다. 공격 조건도 명확합니다. 네트워크 접근만 있으면 되고(AV:N), 사전 인증이 필요 없으며(PR:N), 사용자를 속일 필요도 없습니다(UI:N).

열려 있는 부분(⚠️미확인, 팩트체크 대상): “클라이언트 로직을 재현한다”가 구체적으로 어떤 형태인지는 1차출처에 상세히 서술돼 있지 않습니다. 클라이언트가 비밀번호 검증을 직접 수행하는 형태인지, 예측 가능한 토큰을 클라이언트가 생성하는 형태인지, 서버가 인증 헤더를 아예 재검증하지 않는 형태인지는 공개된 범위에서 구분되지 않습니다. 이 구분은 advisory 요약 수준을 넘어서는 서술이므로, 확인된 사실이 아닌 열린 질문으로 남겨둡니다.

두 제품·두 advisory 문맥: 이 CVE는 두 개의 CISA advisory에 걸쳐 있습니다. NE2-D11은 ICSA-26-237-06에, NA111-M은 ICSA-26-239-05에 등재되며, 같은 클라이언트측 인증 결함을 두 제품 라인이 공유합니다(⚠️미확인 — advisory별 CVE 총수·구성은 팩트체크 대상. 리서치 재료는 NE2-D11 11건·NA111-M 13건으로 집계했으나 라이브 advisory 표와 바이트 단위로 재대조되지 않았습니다). 형제 결함으로는 중요 기능 인증 누락(CWE-306), 민감정보 노출, 평문 자격증명, 취약한 해시 등이 함께 보고됐습니다. 즉 이 장치들은 인증 하나만이 아니라 여러 결함이 겹쳐 사실상 완전 장악이 가능한 상태로 보고됐고, CVE-2026-71187은 그중 인증을 정면으로 무너뜨리는 Critical 조각입니다. (같은 NA111-M advisory의 인증 미비(CWE-306) 결함은 CVE-2026-73125 분석에서, 세션 토큰 보호 결함은 CVE-2026-76179 분석에서 별도로 다룹니다.)

공격 시나리오 · 영향도 + 대응방안

공격 시나리오 (단계 압축, 완성형 페이로드 없음):

  1. 공격자가 네트워크에서 접근 가능한 NE2-D11 또는 NA111-M의 웹 관리 인터페이스에 도달합니다(인터넷에 직접 노출됐거나, 같은 네트워크 세그먼트 안에 있는 경우).
  2. 장치가 브라우저로 내려주는 인증 관련 로직을 관찰해, “무엇이 유효한 인증 요청으로 취급되는가”를 파악합니다. ⚠️미확인: 그 로직의 정확한 형태(클라이언트측 검증·예측 가능 토큰·미재검증 헤더 중 무엇인지)는 1차출처에 명시돼 있지 않습니다.
  3. 브라우저 UI를 거치지 않고, 그 로직이 유효하다고 판정할 요청을 직접 만들어 서버로 보냅니다. 서버가 이를 재검증하지 않으므로 관리자 접근이 부여됩니다.
  4. 관리자 권한으로 설정을 조회·변경하거나, 시리얼 브리지 구성을 바꾸거나, 재시작·초기화 등으로 가용성을 떨어뜨립니다.

영향도: CVSS 9.8~9.3이 뜻하듯 기밀성·무결성·가용성이 모두 최고 수준으로 위협받습니다. 두 장치 모두 산업 현장의 시리얼 장비와 IP 네트워크를 잇는 접점이므로, 게이트웨이를 장악하면 그 뒤에 붙은 Modbus·시리얼 장비로 향하는 통신에도 개입할 수 있는 위치를 얻게 됩니다. 진입 장벽이 사실상 없다는 점(무인증·원격·저복잡도)이 위험을 키웁니다. 다만 실제 악용 관측 여부는 확인되지 않았고, 발행 시점 기준 CISA KEV(알려진 악용 취약점) 목록에도 등재돼 있지 않습니다(⚠️미확인 — 리서치 시점 기준).

대응방안:

벤더 패치가 아직 없는 상태이므로, 대응은 근본 수정보다 보상적 통제(compensating control) 중심으로 짤 수밖에 없습니다.

  1. 근본(현재 제약): 벤더에게 패치 상태를 직접 문의합니다. 벤더가 “개발 중”이라 밝힌 만큼 갱신을 주시하되, 현재 공개된 수정 버전은 없으므로 패치가 나올 때까지 아래 차선책으로 노출 자체를 줄이는 것이 실질적 대응입니다. (클라이언트측 인증은 근본적으로 서버측 세션·인증 재검증으로 바꿔야 고쳐지는 구조 결함입니다 — 임시 우회로는 완전히 막히지 않습니다.)
  2. 차선(노출 최소화):
    • 두 게이트웨이의 웹 관리 인터페이스를 인터넷에 직접 노출하지 않습니다. 산업용 게이트웨이의 관리 화면은 공개망에 있을 이유가 없습니다.
    • 장치를 별도의 네트워크 세그먼트로 격리하고(network segmentation), 관리 접근은 신뢰된 관리 대역에서만 허용합니다.
    • 원격 관리가 필요하면 인터페이스를 직접 여는 대신 VPN 경유로만 접근하도록 합니다.
    • 방화벽·리버스 프록시 앞단에서 관리 엔드포인트 접근을 인증된 출발지로만 제한하면, 장치 자체의 취약한 인증을 바깥에서 부분적으로 메울 수 있습니다.
  3. 탐지 관점: 관리 인터페이스로 향하는 예기치 않은 접근·비정상 설정 변경을 로그에서 회귀 검색합니다. 클라이언트측 인증 우회는 정상 브라우저 흐름을 건너뛴 요청으로 나타나기 쉬우므로, 세그먼트 경계에서 이 장치로 들어오는 트래픽을 모니터링하면 인증 없이 도달하는 요청을 조기에 잡을 수 있습니다.

결론

인증은 “브라우저가 문을 닫았다”가 아니라 “서버가 열쇠를 확인했다”일 때 성립합니다. Ebyte 게이트웨이는 그 확인을 브라우저에게 떠넘겼습니다.

이 부류의 취약점이 반복되는 이유는 분명합니다. 신뢰 경계 밖(클라이언트)에서 인증을 판정하면, 그 판정은 공격자도 똑같이 내릴 수 있다는 것입니다. 예측 가능한 토큰, 클라이언트측 비밀번호 검증, 재검증 없는 인증 헤더는 모두 같은 뿌리에서 나온 변주입니다. 여기에 벤더가 패치에 굼뜬 산업용 장비 특유의 유지보수 공백이 겹치면, 결함은 오래 살아남습니다. 그래서 이런 장치의 관리 인터페이스는 애초에 공개망에 두지 않고 신뢰된 대역으로 격리한다는 네트워크 위생이, 코드 수정만큼이나 실질적인 방어가 됩니다. 이 한 틈은 언젠가 패치로 닫히겠지만, “인증 판정은 서버에서 내려라”는 원칙은 다른 장치·다른 펌웨어에서 또 시험대에 오릅니다. 그래서 우리는 도구가 아니라 방법을 남깁니다.

References / 참고자료

  1. NVD, “CVE-2026-71187” — 이 글이 재구성한 공식 취약점 레코드(개요·CVSS·CWE). https://nvd.nist.gov/vuln/detail/CVE-2026-71187
  2. CISA, “Ebyte NE2-D11” ICS Advisory ICSA-26-237-06 — 1차 정본(NE2-D11 제품·영향 버전·CVSS·CWE·완화책·연구자 크레딧). https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-06
  3. CISA, “Ebyte NA111-M” ICS Advisory ICSA-26-239-05 — 1차 정본(NA111-M 제품·영향 버전·CVSS·CWE, 같은 CVE 등재). https://www.cisa.gov/news-events/ics-advisories/icsa-26-239-05
  4. CISA CSAF JSON, icsa-26-237-06 / icsa-26-239-05 — 기계판독 정본(제품·버전·CVSS·CWE 바이트 단위 대조용). https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-237-06.json
  5. MITRE, “CWE-603: Use of Client-Side Authentication” — 근본원인 클래스의 개념 근거. https://cwe.mitre.org/data/definitions/603.html
  6. ASSURANT Cyber, “ICSA-26-237-06” 분석 — 독립 분석(배포·업종 맥락 교차확인). https://www.assurantcyber.com/blog/icsa-26-237-06/

이 글은 위 원 자료를 우리 관점에서 다시 쓰고 논평을 더한 것입니다. 특정 문장·코드를 그대로 옮기지 않았으며, 자세한 재현 절차는 원문을 참고하세요. ⚠️미확인 표시가 붙은 사실 주장은 발행 전 독립 팩트체크로 1차출처 대조가 끝나야 확정됩니다.