U-Boot 부트로더의 새로운 취약점이 발견되어 펌웨어 업데이트 과정에서 은밀하게 악성 코드를 심을 수 있는 공격 경로가 드러나며, 산업·임베디드 인프라 보안 정책의 설계 단계 전환을 촉구하고 있음
- BleepingComputer는 널리 사용되는 오픈소스 부트로더 U-Boot에서 새로 발견된 여러 취약점이 공격자가 펌웨어 이미지 검증을 우회하거나 메모리 경계를 넘어 코드를 실행하게 만들어, 네트워크 장비, 산업 제어 시스템, IoT 디바이스 등에서 부팅 단계에 악성 펌웨어를 심어 장기 잠복할 수 있게 한다고 분석한다. U-Boot는 Linux 커널, Yocto 프로젝트, ARM 기반 보드 등과 결합되어 글로벌 공급망 전반에 사용되는 핵심 구성 요소이다.
- 기사에 따르면, 이번 U-Boot 취약점은 특정 구성에서 서명 검증 로직의 오류와 입력 길이 검증 부족을 이용해 공격자가 조작된 펌웨어 이미지를 로드하게 만들 수 있으며, 일단 악성 펌웨어가 설치되면 이후 상위 운영체제 수준의 보안 솔루션(Palo Alto Networks 방화벽, CrowdStrike EDR, Microsoft Defender 등)이 하위 부팅 단계 조작을 탐지하기 어렵다. 이는 펌웨어 공격이 네트워크·엔드포인트 보안 레이어를 통과해 은밀하게 인프라를 장악하는 경로를 제공한다.
- 정량적으로, 보도는 취약점이 영향을 줄 수 있는 U-Boot 버전을 폭넓게 열거하면서 수백 종의 상용·산업용 장비가 잠재적으로 위험에 노출되어 있다고 지적한다. 정확한 수치는 제시되지 않았으나, Cisco·Siemens·Schneider Electric 같은 글로벌 공급망 참여 기업들이 U-Boot를 다양한 장비에 활용하고 있다는 점에서 피해 범위가 국제 공급망 수준이라는 점이 강조된다.
- 전략적으로, U-Boot 취약점은 EU 사이버 회복력법(CRA)에서 요구하는 “부팅 단계 포함 설계 단계 보안”의 필요성을 구체적으로 보여준다. 펌웨어·부트로더는 그동안 보안 업데이트의 사각지대로 남아 있었지만, Volt Typhoon과 같은 국가 배후 그룹이 SOHO 라우터·산업 장비 펌웨어를 조작해 장기간 은닉하는 전략을 취하는 상황에서, 부트로더 보안은 국가 인프라 정책의 필수 요소로 부상하고 있다.
- 한국 정책 관점에서, 스마트 공장, 지능형 교통, 공공 IoT 인프라에 사용되는 장비의 펌웨어·부트로더 보안은 여전히 공급업체 책임에 맡겨져 있는 경우가 많다. 정부는 EU CRA와 연계해 수출·국내 사용 장비에 대한 “부트로더·펌웨어 보안 의무”를 도입하고, U-Boot 같은 오픈소스 구성 요소 사용 시 취약점 관리·보안 업데이트 체계를 인증 기준에 포함시키는 한편, Microsoft Azure IoT, Google Cloud IoT Core 등 관리형 서비스 사용 시에도 펌웨어 서명·검증 절차를 계약 조건으로 명시하도록 유도해야 한다.
펌웨어·부트로더 수준의 취약점은 전통적인 보안 솔루션이 탐지하기 어렵기 때문에, 한국은 산업·IoT 장비 인증 제도에 부트로더 보안과 자동 업데이트 체계를 포함시키는 방향으로 제도 전환을 추진할 필요가 있다.
주요 용어: U-Boot(임베디드 장비에서 널리 사용되는 오픈소스 부트로더), 펌웨어(하드웨어 동작을 제어하는 저수준 소프트웨어), EU CRA(유럽연합의 사이버 회복력법으로 제품 설계 단계 보안을 요구하는 규정)
출처: BleepingComputer