식품매장 냉동 제어기 AK-SM800A에서 로그인 없이 원격 코드 실행 취약점 6건 보고
Danfoss AK-SM800A는 식품매장 냉동 시스템을 제어·감시하는 장치입니다. Midnight Blue 연구원 Carlo Meijer는 펌웨어 5.3.2까지 로그인 전 원격 코드 실행 취약점 6건이 있다고 보고했지만, 완전한 실행 시연은 3.3.0에서 했고 5.3.2에서는 인증 관문 프로그램의 충돌을 확인했다고 밝혔습니다. Danfoss가 안내하는 최신 펌웨어 5.4.0에서 취약점이 수정됐는지는 공개 문서에 나와 있지 않습니다.
Midnight Blue 보안 연구원 Carlo Meijer는 Danfoss AK-SM800A에서 로그인 전 원격 코드 실행 취약점 6건을 발견했다고 보고했습니다. 원격 코드 실행은 공격자가 네트워크를 통해 장치에서 코드를 실행할 수 있는 문제입니다. 연구팀은 조사 당시 최신 펌웨어인 5.3.2까지 취약점이 있다고 주장했습니다. Danfoss와 취약점 공개 절차를 조율 중이어서 기술 세부 내용은 공개하지 않았습니다.
AK-SM800A는 식품매장 냉동 시스템의 제어와 상태 감시에 쓰이는 장치입니다. 브라우저 기반 관리 화면과 웹 서비스, 외부 시스템의 XML 연동 등 원격 인터페이스를 제공합니다. Midnight Blue에 따르면 웹 서버 NGINX는 주소가 .cgi로 끝나는 요청을 받아 실제 장치 기능을 처리하는 sm_app 프로그램의 관련 작업으로 전달합니다. 연구팀은 코드 곳곳에서 입력 길이를 제한하지 않고 문자열을 복사하는 strcpy 사용을 확인했습니다. 이 함수는 외부 입력을 받는 인증 전 처리기에도 쓰였으며, 저장 공간보다 긴 입력이 들어오면 메모리가 손상될 수 있다는 설명입니다.
Danfoss는 4.0.x 이상 소프트웨어부터 원격 인터페이스의 인증 규칙을 관리하는 Session Control을 도입하고 Strict Mode를 기본 설정으로 삼았습니다. Strict Mode는 HTTPS 연결을 요구하고, 외부 시스템의 XML 요청에서 사용자 이름·비밀번호 대신 세션 토큰을 쓰게 합니다. XML 문자열을 정제하고 규칙에 어긋나는 명령을 거부해 로그인하지 않은 사용자가 일반 웹 기능에 접근하는 범위를 줄입니다. 제3자 XML 연동 시스템은 요청 형식을 바꿔야 할 수 있습니다. 앞선 펌웨어에서는 각 명령 처리기가 따로 인증을 확인했지만, Session Control을 쓰는 구조에서는 sm_fcgi_app이 요청을 먼저 검사합니다.
sm_fcgi_app은 로그인 여부에 따라 요청을 통과시키는 인증 관문입니다. 사용자가 인증됐다고 판단하면 요청을 NGINX로 보내고, 인증 전에는 로그인에 쓰이는 getauth 요청만 통과시킵니다. Midnight Blue는 Strict Mode가 켜진 5.3.2에서 이 프로그램이 충돌하는 것을 확인했으며, 추가 작업으로 원격 코드 실행까지 발전시킬 수 있다고 주장했습니다. 연구팀이 완전한 원격 코드 실행을 시연한 대상은 이전 펌웨어 3.3.0입니다.
Midnight Blue는 3.3.0 시연에서 악용한 애플리케이션이 운영체제 최고 권한인 root로 실행됐다고 밝혔습니다. 원격 코드 실행이 가능하면 제어기 설정을 바꾸고 냉동 장치의 성에 제거(제상) 동작을 일으키거나, 시스템 로그에서 활동 흔적을 감출 수 있다고 잠재적 영향을 설명했습니다. 또 AK-SM800A가 보안 부팅을 사용하지 않는다는 점을 근거로, 공격자가 악성 코드를 남겨 초기화나 펌웨어 업데이트 뒤에도 접근을 유지하거나 장치를 작동 불능으로 만들 가능성을 제시했습니다.
CERT-FR은 2026년 10월 Danfoss AK-SM·AK-SC, Copeland Xweb, Dixell Xweb 제어기의 침해 사례를 경보했습니다. Midnight Blue는 새로 보고한 취약점이 이 사례에 사용됐다는 연결을 제시하지 않았습니다.
Danfoss 다운로드 페이지는 2026년 11월판 AK-SM800A 펌웨어 5.4.0을 최신 버전으로 안내합니다. 5.4.0 안내문은 4.x부터 적용된 Session Control과 Strict Mode를 설명하지만, Midnight Blue가 보고한 취약점 6건의 수정 여부는 다루지 않습니다. 공개 문서만으로는 5.4.0의 취약 여부나 수정 상태를 확인할 수 없습니다.
Midnight Blue는 제한된 보안 인력과 자원을 개별 패치나 Strict Mode 적용보다 인터넷 노출을 줄이는 데 먼저 쓰라고 권고했습니다. 연구팀은 자산 소유자의 공인 IP 대역뿐 아니라 시스템 통합업체의 4G 모뎀을 통해 연결되는 제어기도 파악하고, 관리 화면 접근을 VPN·사설 APN·방화벽이 강제하는 엄격한 IP 허용 목록으로 제한하라고 제안했습니다. CERT-FR은 긴급 상황에 냉동설비 업체의 IP만 허용하는 방화벽 규칙을 쓸 수 있지만 장기 대책으로 삼지 말라고 권고했습니다. Danfoss는 최신 소프트웨어와 Strict Mode를 사용하고, 장치를 인터넷에 직접 노출하지 않은 채 VPN과 방화벽을 적용하도록 안내합니다.