CVE-2023-4346 대응 가이드: KNX 장치 잠금 취약점 점검 포인트

한눈에 보는 핵심

CVE-2023-4346은 KNX Connection Authorization Option 1을 사용하는 일부 KNX 장치에서 발생하는 장치 잠금 취약점이다. BCU Key 기능이 설정된 뒤 현재 키를 모르면 재설정이 어려운 구현 특성과 결합해, 공격자가 KNX 설치 환경에 접근한 뒤 추가 보안 옵션이 활성화되지 않은 장치를 purge하고 BCU Key를 설정해 장치를 잠글 수 있다.

NVD 기준 CVSS v3.1 점수는 7.5점(High)이며, 영향은 기밀성·무결성보다 가용성에 집중된다. CISA는 이 취약점을 2026년 7월 15일 Known Exploited Vulnerabilities(KEV) 카탈로그에 등재했고, 조치 기한을 2026년 7월 29일로 제시했다. KEV 등재 사유는 active exploitation 근거가 확인됐다는 점이므로, KNX 기반 빌딩 자동화·산업 제어 환경에서는 단순 취약점 공지보다 높은 우선순위로 다뤄야 한다.

취약점 개요

KNX는 조명, HVAC, 출입, 에너지 관리 등 빌딩 자동화 설비에서 널리 쓰이는 통신 표준이다. 이번 취약점은 KNX Protocol Connection Authorization Option 1과 관련되어 있으며, 장치가 KNX Connection Authorization을 사용하고 Option 1을 지원하는 경우 구현 방식에 따라 영향을 받을 수 있다.

문제의 핵심은 BCU Key가 장치 접근을 보호하는 기능이면서도, 일부 장치에서는 현재 키를 모르면 키를 재설정하기 어렵다는 점이다. 공격자가 네트워크를 통해 KNX 설치 환경과 통신할 수 있거나 물리적으로 장치에 접근할 수 있다면, 추가 보안 옵션이 적용되지 않은 장치를 초기화하거나 purge한 뒤 임의의 BCU Key를 설정해 운영자가 장치에 접근하지 못하게 만들 수 있다.

이 취약점은 데이터 탈취형 취약점이라기보다 운영 방해형 취약점에 가깝다. 하지만 빌딩 자동화 환경에서 조명, 냉난방, 출입 통제, 에너지 제어 장치가 잠기면 업무 연속성, 시설 안전, 복구 비용에 직접적인 영향을 줄 수 있다.

영향 범위

우선 점검 대상은 KNX Connection Authorization을 사용하면서 Option 1을 지원하는 KNX 장치와 해당 장치가 연결된 KNX/IP 인터페이스, 관리 워크스테이션, 엔지니어링 도구 운용 구간이다.

특히 다음 조건에 해당하면 위험도가 높다.

• KNX 장치 또는 KNX/IP 게이트웨이가 업무망, 사무망, 무선망, 원격 접속망과 충분히 분리되어 있지 않다.
• 장치에 추가 보안 옵션이 활성화되어 있는지 확인되지 않았다.
• BCU Key 설정 현황, 보관 위치, 복구 절차가 문서화되어 있지 않다.
• 외부 유지보수 업체가 VPN 또는 원격 제어 도구로 KNX 관리 환경에 접근한다.
• 장치 재설정이나 예비 장비 교체 절차를 현장에서 검증한 적이 없다.

NVD 설명에 따르면 네트워크에 연결된 장치는 해당 네트워크 접근권을 가진 공격자가 악용할 수 있고, 네트워크에 연결되지 않은 장치도 물리적 접근이 가능하면 같은 방식으로 악용될 수 있다. 따라서 인터넷 노출 여부만 확인하고 끝내면 충분하지 않다. 네트워크 접근 경로와 현장 물리 접근 통제까지 함께 봐야 한다.

공격 조건과 운영 리스크

공격 난도는 낮게 평가되어 있다. NVD의 CVSS 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H로, 네트워크 공격 벡터, 낮은 공격 복잡도, 권한 불필요, 사용자 상호작용 불필요를 의미한다. 영향은 가용성 High로 산정되어 있다.

실무 관점에서 가장 큰 리스크는 “장치가 망가지는 것”보다 “정상 관리자가 장치를 다시 통제하기 어려워지는 것”이다. BCU Key가 공격자에 의해 설정되고 현재 키를 모르는 상태가 되면, 장치별 복구 방법이 제한될 수 있고, 일부 환경에서는 현장 방문, 장치 교체, 백업 구성 복원, 벤더 지원이 필요할 수 있다.

또한 KNX는 단일 장치보다 여러 설비가 묶여 운영되는 경우가 많다. 특정 장치 잠금이 연쇄적으로 운영 장애를 만들 수 있으므로, 자산 단위가 아니라 구역·설비 기능 단위로 영향도를 평가해야 한다.

대응 우선순위

1. 외부 노출 및 원격 접근 경로를 먼저 차단한다.

KNX/IP 인터페이스, 게이트웨이, 관리 서버가 인터넷에 직접 노출되어 있는지 확인하고 즉시 제거한다. 원격 유지보수가 필요하다면 방화벽 뒤에 두고, 승인된 VPN과 다중 인증, 접속 기록 수집을 전제로 제한해야 한다. CISA도 제어 시스템 장비와 원격 장치의 네트워크 노출 최소화, 방화벽 뒤 배치, 업무망 분리, VPN 사용 시 최신 상태 유지와 보안성을 강조한다.

1. KNX 장치의 보안 옵션과 BCU Key 상태를 조사한다.

장치별로 Connection Authorization Option 1 사용 여부, 추가 보안 옵션 적용 여부, BCU Key 설정 여부, 키 보관 정책을 확인한다. “키가 설정되어 있다”는 사실만으로 충분하지 않다. 현재 운영자가 키를 알고 있고, 권한 있는 담당자만 접근할 수 있으며, 장치 교체나 장애 복구 시 사용할 수 있는 절차가 있어야 한다.

1. 벤더 권고와 완화 조치를 적용한다.

CISA KEV의 필수 조치는 벤더 지침에 따라 완화 조치를 적용하는 것이다. 각 제조사와 장치 모델별로 펌웨어, 설정 옵션, 복구 절차가 다를 수 있으므로 단일 명령이나 단일 패치로 처리하려 하면 누락이 생길 수 있다. 자산 목록을 기준으로 제조사 공지와 CISA ICS Advisory를 대조해 적용 여부를 확인한다.

1. 네트워크 분리와 모니터링을 강화한다.

KNX 관리 구간은 일반 사용자 단말, 무선망, 게스트망, 인터넷 접점과 분리해야 한다. KNX/IP 게이트웨이에 대한 비정상 접속, 장치 purge 시도, 관리 도구 실행, 인증 실패, 변경 작업 시간대를 기록하고 이상 징후를 확인한다.

1. 잠금 발생 시 복구 절차를 준비한다.

이미 BCU Key가 알 수 없는 값으로 설정됐거나 장치 접근이 막힌 경우, 임의로 반복 재설정을 시도하기보다 장치 모델별 복구 절차와 벤더 지원 경로를 확인해야 한다. 운영 중인 설비라면 영향 구역, 대체 운전 방법, 유지보수 창구, 현장 출입 권한을 함께 준비한다.

실무 점검 체크리스트

자산 식별

• KNX 장치, KNX/IP 라우터, 게이트웨이, 관리 서버, 엔지니어링 워크스테이션 목록을 최신화했다.
• 각 장치의 제조사, 모델, 펌웨어 버전, 설치 위치, 담당 부서를 기록했다.
• Connection Authorization Option 1 사용 여부를 장치별로 확인했다.
• 추가 보안 옵션 활성화 여부를 장치별로 확인했다.

접근 경로 점검

• KNX/IP 인터페이스가 인터넷에 직접 노출되어 있지 않다.
• 업무망·사무망·게스트망에서 KNX 관리 구간으로 임의 접근할 수 없다.
• 원격 유지보수 접속은 VPN, 다중 인증, 계정별 권한, 접속 로그를 적용한다.
• 유지보수 업체 계정과 공유 계정을 정리했고, 불필요한 계정은 비활성화했다.

BCU Key와 설정 관리

• BCU Key 설정 현황과 보관 위치를 운영 문서에 기록했다.
• 키 접근 권한은 최소 인원에게만 부여했다.
• 장치 교체, 초기화, 장애 복구 시 필요한 키 사용 절차를 문서화했다.
• 알 수 없는 BCU Key가 설정된 장치가 있는지 확인했다.

모니터링과 변경 통제

• KNX 관리 작업은 승인된 변경 창구와 작업 시간대 안에서 수행한다.
• 장치 purge, 재설정, 인증 실패, 관리 도구 접속 이벤트를 확인할 수 있다.
• KNX 관리 구간에서 평소와 다른 스캔, 접속, 설정 변경 시도를 탐지한다.
• 백업 구성과 프로젝트 파일의 보관 위치, 최신성, 복원 가능성을 점검했다.

사고 대응 준비

• 장치 잠금 발생 시 연락할 벤더·유지보수 업체·내부 담당자 목록이 있다.
• 잠긴 장치가 담당하는 설비 기능과 영향 구역을 빠르게 식별할 수 있다.
• 현장 출입, 예비 장치, 복구 도구, 백업 파일 접근 절차를 준비했다.
• 복구 전후 변경 내역과 증거 보존 절차를 정해 두었다.

결론

CVE-2023-4346은 전통적인 정보 유출 취약점은 아니지만, 빌딩 자동화 환경에서는 장치 가용성을 직접 흔들 수 있는 취약점이다. CISA KEV 등재와 active exploitation 근거가 확인된 만큼, KNX 장치를 운영하는 조직은 단순 공지 확인에 그치지 말고 자산 식별, 외부 노출 제거, BCU Key 관리, 벤더 완화 조치, 복구 절차 점검까지 이어가야 한다.

가장 먼저 확인할 것은 “우리 KNX 관리 구간에 누가 접근할 수 있는가”와 “장치가 잠겼을 때 우리가 다시 통제권을 회복할 수 있는가”다. 이 두 질문에 답하지 못한다면, 패치 여부와 별개로 운영 리스크가 남아 있다고 봐야 한다.

참고자료

• CISA Known Exploited Vulnerabilities Catalog: CVE-2023-4346
• CISA ICS Advisory ICSA-23-236-01
• NVD: CVE-2023-4346
• CISA BOD 26-04 Prioritizing Security Updates Based on Risk

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.