텐다 라우터에서 미공개 백도어 발견, 보안 패치 없어 사용자 주의 요구

미국 정부 지원 사이버 보안 그룹인 카네기 멜론 대학교 소프트웨어 공학 연구소의 CERT 조정 센터(CERT/CC)는 지난 7월 6일, 여러 텐다(Tenda) 네트워킹 장치에서 공격자가 완전한 관리자 제어 권한을 얻을 수 있는 펌웨어 취약점을 공개했습니다. CVE-2026-11405로 추적되는 이 취약점은 해당 모델 펌웨어에 문서화되지 않은 인증 백도어로, 정상적인 로그인 절차를 우회하여 유효한 자격 증명 없이도 장치의 웹 관리 인터페이스에 접근할 수 있게 합니다. 더욱이, 텐다 측은 CERT/CC의 연락에도 불구하고 아직까지 보안 패치를 제공하지 않고 있어 위험이 가중되고 있습니다.

텐다는 중국 선전에 본사를 둔 저가형 네트워킹 브랜드로, 인도 등 여러 시장에서 상당한 입지를 가지고 있습니다. CERT/CC는 FH1201, W15E, AC10, AC5, AC6 라우터 제품군에 걸쳐 총 다섯 가지의 영향을 받는 펌웨어 버전을 목록으로 제시했습니다. 이 권고는 익명의 연구원이 발견한 내용을 기반으로 하며, 해당 목록이 모든 취약 모델을 망라하는 것은 아니라고 명시되어 있습니다. 이는 벤더가 확인한 범위가 없기 때문에 연구원이 CERT/CC에 보고한 특정 빌드만을 포함하고 있음을 의미합니다.

권고에 따르면, 이 취약점은 라우터의 내장 웹 서버 내부에 존재하며, 문서화되지 않은 인증 루틴이 구성된 관리자 자격 증명을 요구하지 않고 관리자 접근을 허용합니다. 대부분의 소비자용 라우터와 마찬가지로, 텐다 장치 또한 Wi-Fi 설정, 방화벽 규칙, DNS 서버, 펌웨어 업데이트, 포트 포워딩, 자녀 보호 기능 등 핵심 네트워킹 기능을 구성하기 위한 비밀번호 보호 웹 관리 인터페이스를 제공합니다. 이러한 인터페이스는 라우터 작동의 대부분을 제어하기 때문에, 일반적으로 무단 사용자가 전체 가정 또는 비즈니스 네트워크를 손상시킬 수 있는 변경을 하는 것을 방지하기 위한 강력한 인증 메커니즘으로 보호되어야 합니다.

영향을 받는 펌웨어는 초기에는 예상대로 표준 MD5 기반 검사를 통해 관리자 비밀번호를 확인하는 인증을 수행합니다. 그러나 이 확인이 실패할 경우, 로그인 루틴은 조용히 두 번째, 문서화되지 않은 코드 경로를 따르게 됩니다. 즉시 로그인 시도를 거부하는 대신, 펌웨어는 구성 키 `sys.rzadmin.password` 아래에 내부적으로 저장된 다른 비밀번호를 검색하고, 표준 C 라이브러리 함수인 `strcmp()`를 사용하여 사용자 제공 비밀번호와 직접 비교합니다.

만약 제공된 비밀번호가 이 숨겨진 값과 일치하면, 펌웨어는 즉시 전체 권한을 가진 유효한 관리자 세션을 생성합니다. 더욱 우려스러운 점은, 관련 사용자 이름은 전혀 유효성 검사를 거치지 않는다는 사실입니다. 이는 숨겨진 비밀번호만 제공된다면 어떤 사용자 이름이든 사용할 수 있음을 의미합니다. 결과적으로, 이 메커니즘은 라우터에 구성된 관리자 계정을 완전히 우회하는 효과를 가져옵니다.

CERT/CC는 숨겨진 비밀번호 자체를 공개하지는 않았지만, 문서화되지 않은 보조 인증 경로의 존재는 영향을 받는 장치의 보안 모델을 심각하게 약화시킵니다. 기존의 구현 오류로 인한 일반적인 인증 취약점과 달리, 이는 기존 인증 경로의 결함이 아니라 별도의 로그인 경로입니다. 이 경로는 라우터의 관리 인터페이스를 통해 문서화되거나 노출되지 않은 자격 증명을 통해 관리자 접근을 허용합니다. 이 경로가 의도적으로 배치된 것인지, 아니면 잊혀진 개발 기능으로 남겨진 것인지는 불분명하며, CERT/CC는 의도에 대한 결론을 내리지 않았고, 텐다의 침묵은 어떠한 해명도 제공하지 않고 있습니다.

공격이 성공하면 공격자는 라우터 구성에 대한 무제한적인 제어 권한을 얻게 됩니다. 관리자 접근 권한을 통해 공격자는 네트워크 설정을 수정하고, DNS 서버를 변경하여 인터넷 트래픽을 리디렉션하며, 보안 보호 기능을 비활성화하고, 관리자 자격 증명을 교체하거나, 추가 원격 접근 기능을 활성화할 수 있습니다. 라우터는 로컬 장치와 인터넷 사이의 게이트웨이 역할을 하므로, 라우터가 손상되면 네트워크에 연결된 모든 시스템이 추가 공격에 노출될 수 있습니다.

텐다의 공식 펌웨어 업데이트가 나오기 전까지, CERT/CC는 공격자가 인터넷을 통해 관리 인터페이스에 접근하는 것을 방지하기 위해 가능한 한 원격 웹 관리를 비활성화할 것을 권고합니다. 또한, 조직은 로컬 네트워크 노출을 제한할 것을 조언하며, 라우터의 기본 LAN IP 주소를 변경하는 것이 자동화된 스캐닝 도구에 의한 기회주의적 발견을 줄일 수는 있지만, 특정 목표를 가진 공격자의 네트워크 정찰로부터는 보호하지 못한다고 지적했습니다.

이번 공개는 연방통신위원회(FCC)가 지난 3월 특정 외국산 네트워킹 제품을 '커버드 리스트(Covered List)'에 추가하여 미국 내 수입 및 판매에 필요한 승인을 받지 못하게 했을 때 언급했던 우려와 맥을 같이 합니다. FCC는 손상된 소비자 라우터가 공격자에게 가정 및 소규모 비즈니스 네트워크에 대한 발판을 제공할 수 있다고 주장했습니다. 널리 판매되는 네트워킹 장비에서 문서화되지 않은 관리자 백도어가 발견되고, 벤더의 패치나 응답이 없는 상황은 규제 당국이 해결하고자 하는 공급망 보안 위험의 유형을 명확히 보여줍니다.