하이트론씨스템즈의 DVR 제품에서 6개 취약점 발견... 펌웨어 보안 업데이트 발표

제품 초기 설정 관리자 아이디·비밀번호 계정으로 인한 취약점
NTP 서버 악용해 디도스 공격 발생...Admin 계정 사용 금지 및 보안 업데이트 권장

[보안뉴스 박은주 기자] 네트워크 카메라 등 영상보안 제품을 제조 및 판매하는 하이트론씨스템즈(Hitron Systems, 이하 하이트론)의 디지털 비디오 레코더(DVR)에서 총 6건의 취약점이 발견됐다. 취약점을 악용하면 NTP(Network Time Protocol) 서버 기능을 악용해 디도스(DDoS) 공격을 발생시킬 수 있어 신속한 보안 업데이트가 요구된다.

▲하이트론 DVR[이미지=하이트론 홈페이지]

취약점은 △CVE-2024-22768 △CVE-2024-22769 △CVE-2024-22770 △CVE-2024-22771
△CVE-2024-22772 △CVE-2024-23842로 모두 CVSS 7.5점으로 심각도가 높은 수준이다. 제품이 출시됐을 때 설정된 관리자(Admin) 기본 계정과 비밀번호가 공격자에게 탈취돼 발생하는 취약점으로, 하이트론의 DVR 제품 전체에 영향을 끼치는 것으로 드러났다.

공격자가 취약점을 악용하면 NTP 서버 기능을 악용해 사용자 데이터그램 프로토콜(UDP) 트래픽의 양을 증폭할 수 있게 된다. 증폭된 트래픽으로 네트워크나 서버를 압도하고, 정상적인 트래픽이 목표 및 주변 인프라에 액세스할 수 없게 하는 디도스 공격을 유발하는 것이다.

[로고=하이트론]

하이트론 관계자는 “초기 기본 설정 계정이나 비밀번호였던 어드민을 바꾸지 않아서 발생한 취약점”이라며 “현재 제품을 출시할 때는 어드민 계정을 사용하지 않는다”고 밝혔다. 이어 “앞으로도 보안 위협에 적극 대응하겠다”고 밝혔다.

또한 보호나라 공지를 통해 제품 출시 당시 기본으로 설정된 어드민 계정 사용을 금지할 것을 권장하며, 사용 중인 비밀번호를 주기적으로 바꿀 것을 요청했다.

▲취약점에 영향받는 제품 및 해결 버전[표=KISA]

하이트론은 취약점 패치하고 펌웨어 보안 업데이트를 발표했다. 영향받는 제품 및 해결 버전은 위 표와 같다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)