Oray 푸공잉 X5 Pro 라우터, CRLF 인젝션 취약점으로 원격 공격 노출

핵심 요약

- Oray Pugongying X5 Pro 7.6.1 라우터의 Ser2net 컴포넌트에서 CVSS 9.9점(Critical) CRLF 인젝션 취약점(CVE-2026-116231) 발견 - regmsg 인자 조작을 통한 원격 공격이 가능하며, 공개된 익스플로잇 코드로 실제 공격 위험 증가 - 제조사 Oray는 조기 보고에도 불구하고 어떠한 대응도 하지 않아 사용자 자체 대응 필요

주요 내용

2026년 10월 현재, 중국 네트워크 장비 제조사 Oray의 Pugongying X5 Pro 라우터 버전 7.6.1에서 심각한 보안 취약점이 공개됐다. 해당 취약점은 CVE-2026-116231로 등록되었으며, CVSS v3.1 기준 9.9점의 Critical 등급으로 평가됐다.

취약점은 시리얼-네트워크 변환 기능을 담당하는 Ser2net 컴포넌트에서 발견됐다. 공격자가 regmsg 파라미터를 조작하여 CRLF(Carriage Return Line Feed) 문자를 삽입하면, 시리얼 배너의 개행 문자를 악용해 기존 파일을 덮어쓸 수 있다. 이는 HTTP 응답 분할(Response Splitting), 로그 위조, 또는 설정 파일 변조로 이어질 수 있는 위험한 취약점이다.

특히 우려되는 점은 이 취약점이 원격에서 인증 없이 공격 가능하다는 것이다. 공격 복잡도가 낮고 사용자 상호작용이 필요 없어, 자동화된 공격 도구를 통한 대규모 스캐닝 및 침해 시도가 예상된다. 실제로 Notion과 VulDB를 통해 상세한 기술 문서와 개념 증명(PoC) 코드가 공개되어 있어, 기술력이 낮은 공격자도 쉽게 악용할 수 있는 상황이다.

더욱 심각한 것은 제조사의 대응 부재다. 보안 연구자들이 취약점 발견 초기에 Oray 측에 연락했으나, 제조사는 어떠한 응답이나 패치 계획도 발표하지 않았다. 이는 제로데이 취약점이 장기간 방치될 가능성을 의미하며, 해당 제품 사용 기관은 자체적인 보안 조치를 즉각 취해야 하는 상황이다.

전문가 시각

ISMS-P 심사 관점에서 볼 때, 이 사례는 공급망 보안 관리의 중요성을 다시 한번 상기시킨다. 특히 정보보호 관리체계 인증 심사 시 네트워크 장비 선정 기준(2.8.2 정보시스템 도입 및 개발 보안)에서 제조사의 보안 대응 체계를 평가해야 하는 이유가 명확히 드러난다. 제조사가 취약점 보고에 무응답하는 경우, 해당 제품은 지속적인 보안 위험 요소가 되며, 이는 인증 심사에서 중대한 결함으로 지적될 수 있다.

실무 대응 측면에서는 해당 라우터를 사용하는 조직은 즉각 네트워크 세분화(Network Segmentation)를 통해 Ser2net 서비스 접근을 제한해야 한다. 특히 ICS/SCADA 환경에서 시리얼 통신 변환 용도로 사용 중인 경우, 방화벽 규칙을 통해 신뢰된 IP에서만 접근하도록 설정하고, 침입탐지시스템(IDS)에서 CRLF 패턴을 모니터링해야 한다. 장기적으로는 보안 패치 정책이 명확한 대체 제품으로의 전환을 검토해야 한다.

영향받는 시스템 및 조치사항

영향받는 시스템:
- Oray Pugongying X5 Pro 라우터 버전 7.6.1
- Ser2net 컴포넌트를 활성화한 모든 설정

CVSS 점수 해석:
CVSS 9.9 Critical 등급은 공격 벡터가 네트워크(AV:N), 공격 복잡도 낮음(AC:L), 권한 불필요(PR:N), 사용자 상호작용 불필요(UI:N)를 의미한다. 기밀성(C), 무결성(I), 가용성(A) 모두에 높은 영향(High)을 미치며, 특히 무결성 측면에서 파일 덮어쓰기가 가능해 시스템 설정 변조 위험이 크다.

즉각 조치사항:
1. Ser2net 서비스 비활성화 (업무상 필수가 아닌 경우)
2. 방화벽 규칙으로 Ser2net 포트(기본 2217번 등) 외부 접근 차단
3. 네트워크 세그먼트 분리로 관리 네트워크와 서비스 네트워크 격리
4. 웹 애플리케이션 방화벽(WAF)에서 CRLF 패턴(%0D%0A, \r\n 등) 차단 규칙 적용
5. 제품 교체 검토 및 대안 솔루션 평가

제조사 패치가 없는 상황에서는 완화(Mitigation) 조치만 가능하며, 근본적 해결을 위해서는 제품 교체가 유일한 방안이다.

CPPG·ISMS-P 연계 포인트

1. CRLF 인젝션 공격 메커니즘 (CPPG 애플리케이션 보안)
CRLF 인젝션은 HTTP 헤더나 로그 파일에 개행 문자(\r\n)를 삽입하여 응답 분할, 로그 위조, XSS 공격으로 연계되는 취약점이다. CPPG 시험에서는 입력값 검증 실패의 대표 사례로 출제되며, 특히 화이트리스트 기반 입력 필터링과 인코딩 처리의 중요성을 평가한다. 본 사례는 IoT 장비의 시리얼 통신 변환 과정에서 발생한 드문 케이스로, 임베디드 시스템 보안의 특수성을 보여준다.

2. 공급망 보안 및 제조사 대응 체계 평가 (ISMS-P 2.8.2, 2.10.3)
ISMS-P 인증 심사에서 정보시스템 도입 시 제조사의 보안 패치 정책과 취약점 대응 체계를 평가해야 한다. 본 사례처럼 제조사가 취약점 보고에 무응답하는 경우, 해당 제품은 지속적 보안 위험으로 분류되며, 보안 사고 발생 시 조직의 선정 과실로 책임이 귀속될 수 있다. 심사 시 네트워크 장비 선정 기준에 '제조사 보안 대응 SLA' 항목 포함 여부를 확인해야 한다.