2025년 댄포스 AK-SM 800A 냉동 컨트롤러에서 발견된 치명적 취약점들의 2026년 현재 상황과 필수 보안 대책을 알아봅니다. 시스템 보호를 위한 펌웨어 업데이트와 네트워크 보안 강화는 필수입니다.
댄포스 AK-SM 800A 냉동 컨트롤러, 과거의 위협과 2026년의 보안
2025년은 산업 제어 시스템(ICS) 보안에 있어 중요한 한 해였습니다. 특히 Claroty의 Team82 연구팀은 댄포스 AK-SM 800A 냉동 컨트롤러에서 심각한 취약점들을 발견해 전 세계에 경고를 보냈습니다. 이 컨트롤러는 슈퍼마켓, 창고, 냉장 시설 등에서 온도 설정, 운영 스케줄, 알람 관리를 담당하는 핵심 장비입니다. 연구 결과는 수천 대의 시스템이 공개 인터넷에 노출되어 원격 공격에 취약할 수 있음을 보여주었습니다. 2026년 현재, 이러한 위협이 여전히 유효할 수 있기에 철저한 보안 점검이 필수적입니다.
숨겨진 일일 코드를 통한 인증 우회 (CVE-2025-41450)
가장 충격적인 발견 중 하나는 댄포스 AK-SM 800A 컨트롤러에 숨겨진 인증 메커니즘이었습니다. 공격자는 장치의 현재 날짜를 기반으로 생성되는 일일 코드를 통해 정상적인 관리자 비밀번호를 우회할 수 있었습니다. Team82 연구팀은 펌웨어를 분석하여 이 코드 생성 알고리즘을 재구성해냈습니다. 이 취약점을 통해 관리자 권한을 획득하면 냉동 장비의 중요한 설정과 관리 기능에 무단으로 접근할 수 있었으며, 이는 신선 식품 보존 등 운영 전반에 심각한 영향을 미칠 수 있었습니다.
이메일 설정 기능을 통한 원격 코드 실행 (CVE-2025-41451)
두 번째 주요 취약점은 컨트롤러의 이메일 설정 기능에서 발견된 명령 삽입(Command Injection) 문제였습니다. 연구팀은 관리 인터페이스를 통해 입력된 이메일 인증 비밀번호가 적절한 검증 없이 운영 체제 명령에 통합될 수 있음을 확인했습니다. 악의적인 입력은 추가 셸 명령을 주입하여 인증 후 원격 코드 실행(RCE)으로 이어질 수 있었습니다. 이는 앞서 언급된 일일 비밀번호 우회 취약점과 결합될 경우, 비인가된 접근에서부터 시스템 제어권 장악까지 이어지는 치명적인 공격 경로를 제공했습니다.
웹 서버 설정 결함으로 인한 서비스 거부 (CVE-2025-41452)
세 번째 취약점은 컨트롤러의 외부 접근 가능한 Nginx 웹 서버 설정과 관련된 것이었습니다. 인증된 기능이 headers.conf 파일을 교체하고 서버 구성을 다시 로드할 수 있었으나, 장치를 재시작하지는 않았습니다. 이로 인해 공격자는 무단 라우팅 지시문을 삽입하여 웹 서버가 요청을 처리하는 방식을 변경할 수 있었습니다. 악의적으로 구성된 경로로 요청이 전달되면 sm_app 프로세스에서 예외가 발생하여 관리 인터페이스가 중단되는 서비스 거부(DoS) 상태를 유발할 수 있었습니다. 이는 냉동 장비 모니터링 및 유지보수를 심각하게 방해합니다.
2026년, 필수적인 보안 강화 및 업데이트
다행히도 Claroty의 Team82는 댄포스에 이러한 취약점을 책임감 있게 보고했으며, 댄포스는 2025년에 펌웨어 버전 R4.3.1을 출시하여 이러한 문제들을 해결했습니다. 2026년 현재, 댄포스 AK-SM 800A 컨트롤러를 사용하는 모든 운영자는 즉시 R4.3.1 버전 이상으로 펌웨어를 업데이트해야 합니다. 또한, 관리 인터페이스를 신뢰할 수 있는 관리 네트워크나 보호된 VPN 연결로만 제한하여 외부 노출을 최소화하는 것이 매우 중요합니다. 산업 제어 시스템의 보안은 단순히 데이터 보호를 넘어 물리적 운영의 안전과 직결됩니다.
미래를 위한 OT 보안 전략
댄포스 AK-SM 800A 사례는 운영 기술(OT) 환경에서의 사이버 보안이 얼마나 중요한지를 다시 한번 상기시켜 줍니다. 2026년에도 여전히 많은 산업 시스템들이 레거시 장비를 사용하고 있거나, 보안 업데이트에 소홀한 경우가 있습니다. 이러한 취약점들은 생산 중단, 재정적 손실, 심지어 공공 안전 위협으로 이어질 수 있습니다. 따라서 정기적인 보안 감사, 최신 펌웨어 유지, 네트워크 분할, 강력한 접근 제어 등 포괄적인 OT 보안 전략을 수립하고 지속적으로 강화하는 것이 모든 기업에게 필수적인 과제입니다.
