리플20 익스플로잇: 전 세계 IoT/OT 디바이스 위협하는 19개 치명적 취약점

JSOF 사이버보안 연구자들이 트렉(Treck) TCP/IP 스택 표적 19개 치명적 취약점 종합 리스트 공개, 통칭 리플20(Ripple20). 이 스택은 의료, 운송, 제조, 통신, 에너지 분야 수백만 디바이스에 임베디드, 잠재적 영향이 광범위한 중요 인프라 아우름.

리플20은 2019년 인터피크(Interpeak) TCP/IP 스택 영향 준 어전트/11(Urgent/11) 결함과 유사. 어전트/11처럼 새 이슈들도 원격 코드 실행(RCE)과 서비스 거부(DoS) 공격 가능. HP, 슈나이더 일렉트릭, 인텔, 로크웰 오토메이션, 캐터필러, 백스터 등 주요 벤더들 이미 자사 제품 노출 확인.

시스코 산업용 IoT 포트폴리오(사이버 비전, ISA3000 어플라이언스 등)는 리플20 영향 없으나, 시스코 제품 일부 하위세트 취약할 수 있음 인정. 회사 권고문 여기서 상세 가이드 제공. 시스코 사이버 비전과 탈로스 생성 스노트(Snort) 시그니처가 네트워크 내 리플20 위협 탐지·복구 지원.

1997년 설립된 트렉은 실시간 임베디드 시스템용 최적화 프로토콜 스택 제공. 스택이 소스코드로 배포돼 벤더들이 메모리 제약 IoT 디바이스 맞게 프로토콜 레이어 체리픽킹·커스터마이징 가능. 이 유연성이 최종 제품 내 트렉 구성요소 존재 모호하게 만들어 취약점 식별 복잡, 특히 기업 인수 후.

역사적으로 트렉은 일본 엘믹 시스템(현 주켄 엘믹)과 협력, 미국과 아시아 시장용 병렬 TCP/IP 스택 생산. 여러 리플20 취약점이 주켄 엘믹 스택에도 영향.

지금 행동: 리플20 최고 위험 결함 대응

19개 이슈 중 4개 치명적(CVSS >9). 최대 위협, 공격자 임의 코드 실행, DoS 공격, 민감 데이터 유출 가능. 가장 심각한 CVE-2020-11901은 장치 DNS 요청에 조작된 DNS 응답으로 트리거, 원격 코드 실행 유도. DNS 트래픽 보통 네트워크 벗어나므로 공격자 상대 쉽게 가로챌 수 있고, 익스플로잇 패킷 표준 RFC 준수해 방화벽 탐지 어려움.

전체 취약점 리스트와 기술 세부사항은 JSOF 웹사이트 여기 참조.

자사 IoT/OT 환경에서 리플20 탐지

JSOF 추산 수십억 디바이스 영향 가능, 많은 벤더가 트렉 스택 일부 임베드. CISA ICS-CERT가 영향받는 벤더 진화하는 리스트 여기 공개. 벤더 권고 지속 표면화되지만 사전 조치로 리스크 식별·완화 가능.

시스코 사이버 비전은 산업 네트워크 자동 매핑, 상세 자산 인벤토리 구축, 리플20 포함 알려진 취약점 하이라이트. 지식베이스 정기 업데이트, 모든 사이버 비전 고객 무료. 아직 최신 버전 아니라면 여기서 다운로드 권장.

리플20 성격과 레거시 디바이스 패치 어려움 고려 시 보완적 방어 조치도 고려해야.

즉각적 보호 조치

시스코 탈로스 스노트 규칙 활용 침입 탐지 시스템(IDS) 배포해 익스플로잇 시도 플래그. 시스코 사이버 비전 이 규칙들 통합 가능, ISA3000 어플라이언스는 러기드 온사이트 포맷으로 IDS+실시간 차단 역량 제공.

ISA3000은 네트워크 세그멘테이션에 탁월, 직접 통신해선 안 되는 디바이스 격리해 잠재 침해 봉쇄.

JSOF 권장 추가 완화조치들 ISA3000으로 시행 가능: IP 단편화 차단, IP-in-IP 터널링, 변형 TCP 패킷, 미사용 ICMP 메시지, DHCP 등 불필요 프로토콜 제한.

산업 네트워크 보호 더 알아보려면 IoT 보안 허브 탐색 또는 시스코 연락해 자사 IoT/OT 환경 맞춤 솔루션 논의.