GL.iNet GL-MT3000 라우터 원격 명령 주입 취약점 발견, CVSS 9.8 중대 등급

핵심 요약

- GL.iNet GL-MT3000 라우터 펌웨어 4.4.5 이하 버전에서 원격 명령 주입 취약점(CVE-2026-18602) 발견, CVSS 9.8점(CRITICAL) 부여 - ovpn-client.so 네이티브 플러그인의 ovpn-client.get_recommend_config 함수에서 Hostname 파라미터 검증 미흡으로 발생 - 공격 코드가 GitHub에 공개된 상태이며, 제조사는 취약점 존재를 확인했으나 패치 여부는 미확인

주요 내용

2026년 8월 현재, 대만 기반 네트워크 장비 제조사 GL.iNet의 트래블 라우터 GL-MT3000 제품군에서 치명적인 원격 명령 주입 취약점이 확인됐다. 해당 취약점은 펌웨어 버전 4.4.5 이하에서 발생하며, VPN 클라이언트 설정 기능을 처리하는 과정에서 사용자 입력값에 대한 적절한 검증이 이루어지지 않아 발생한다.

구체적으로 /cgi-bin/glc 파일 내 ovpn-client.so 네이티브 플러그인의 ovpn-client.get_recommend_config 함수가 취약점의 원인이다. 공격자는 Hostname 인자를 조작하여 임의의 시스템 명령을 주입할 수 있으며, 이는 인증 없이 원격에서 실행 가능하다. CVSS 3.x 기준 9.8점이라는 최고 수준의 위험도가 부여된 이유는 공격 복잡도가 낮고(Low), 권한 요구사항이 없으며(None), 사용자 상호작용이 불필요(None)하기 때문이다.

보안 연구자 StrTzz123는 해당 취약점의 상세 분석과 개념증명(PoC) 코드를 GitHub 저장소에 공개했으며, VulDB에도 등록됐다. 제조사 GL.iNet은 조기 통보를 받고 취약점의 존재를 확인했으나, 2026년 8월 6일 현재까지 공식 보안 패치 배포 여부는 명확히 공지되지 않은 상태다. 이미 공격 코드가 공개된 만큼 실제 공격에 악용될 가능성이 매우 높은 상황이다.

GL-MT3000은 여행자와 원격 근무자들 사이에서 인기 있는 포켓 와이파이 라우터로, VPN 기능을 기본 탑재하고 있어 보안을 중시하는 사용자층이 많다는 점에서 이번 취약점의 파급력이 크다. 특히 IoT 기기 특성상 펌웨어 업데이트가 지연되거나 방치되는 경우가 많아, 장기간 취약한 상태로 노출될 위험이 있다.

전문가 시각

ISMS-P 관점에서 본 취약점은 입력값 검증 실패라는 전형적인 보안 약점(CWE-78: OS Command Injection)에 해당한다. 특히 네트워크 경계 장비인 라우터에서 발생한 명령 주입 취약점은 내부 네트워크 전체를 위협할 수 있다는 점에서 심각성이 배가된다. 공격자는 라우터를 장악한 후 내부 네트워크 스니핑, 중간자 공격(MITM), 추가 악성코드 유포 거점으로 활용할 수 있으며, VPN 트래픽까지 탈취 가능하여 암호화된 통신의 기밀성도 침해받을 수 있다.

기업 환경에서는 GL-MT3000을 재택근무용 VPN 라우터로 사용하는 경우가 있을 수 있는데, 이는 정보보호 관리체계 관점에서 '승인되지 않은 네트워크 접속 장비'로 분류될 가능성이 높다. ISMS-P 인증심사 시 원격근무 환경의 네트워크 보안 통제 항목(2.8.2 원격근무 보안)에서 이러한 개인 소유 네트워크 장비의 사용 현황과 보안 패치 관리 체계를 중점적으로 확인해야 한다. 조직은 개인 소유 장비에 대한 사용 정책을 재검토하고, 불가피하게 사용하는 경우 정기적인 펌웨어 업데이트 의무화와 네트워크 세분화(Segmentation) 전략을 병행해야 한다.

영향받는 시스템 및 조치사항

영향받는 제품
- GL.iNet GL-MT3000 (Beryl AX) 라우터
- 펌웨어 버전 4.4.5 이하 모든 버전

CVSS 3.x 점수 해석 (9.8 CRITICAL)
- 공격 벡터(AV): 네트워크(Network) - 원격 공격 가능
- 공격 복잡도(AC): 낮음(Low) - 특별한 조건 불필요
- 필요 권한(PR): 없음(None) - 인증 불필요
- 사용자 상호작용(UI): 없음(None) - 자동화된 공격 가능
- 영향 범위: 기밀성(C), 무결성(I), 가용성(A) 모두 높음(High)

즉시 조치사항
1. GL.iNet 공식 웹사이트에서 최신 펌웨어 업데이트 확인 및 적용
2. 업데이트 전까지 관리 인터페이스 외부 접근 차단 (방화벽 규칙 적용)
3. 강력한 관리자 암호 재설정 및 기본 계정 비활성화
4. 가능한 경우 VPN 기능 일시 비활성화 또는 대체 장비 사용 검토
5. 네트워크 로그 모니터링을 통한 비정상 명령 실행 탐지

CPPG·ISMS-P 연계 포인트

1. 입력값 검증 및 보안약점 관리 (ISMS-P 2.5.3 보안 취약점 점검 및 조치)
명령 주입(Command Injection) 취약점은 OWASP Top 10의 Injection 계열 공격에 해당하며, 외부 입력값을 시스템 명령어로 전달하기 전 화이트리스트 기반 검증, 특수문자 필터링, 파라미터화된 API 사용 등의 통제가 필수적이다. 개인정보처리시스템의 웹 애플리케이션뿐 아니라 네트워크 장비 펌웨어에서도 동일한 보안 개발 원칙이 적용되어야 하며, 정기적인 소스코드 보안 점검과 침투 테스트를 통해 선제적으로 탐지해야 한다.

2. 공급망 보안 및 제3자 장비 관리 (ISMS-P 2.2.3 외부자 보안)
IoT 라우터와 같은 제3자 네트워크 장비는 조직의 보안 경계를 형성하는 핵심 자산이므로, 도입 전 보안성 평가와 지속적인 취약점 모니터링 체계가 필요하다. CVE 데이터베이스 구독, 제조사 보안 공지 모니터링, 자산 관리 시스템(CMDB)과의 연계를 통해 영향받는 장비를 신속히 식별하고 패치를 적용하는 프로세스가 ISMS-P 인증 유지를 위한 필수 요건이다. 특히 원격근무 환경에서 사용되는 개인 소유 장비에 대한 최소 보안 기준 수립과 주기적인 보안 점검이 요구된다.