성그로우 iSolarCloud 인증 우회 취약점 공개…연구팀 “하루 내 패치”

태양광 인버터 제조사 성그로우(Sungrow)의 관리 플랫폼 iSolarCloud에서 인증을 우회할 수 있는 취약점이 공개됐다. 보안 기업 Jakkaru가 7일 공개한 연구 원문에 따르면, 로그인 요청의 특정 유형을 선택했을 때 비밀번호를 검증하지 않고 지정한 사용자 계정에 접근할 수 있었다. 연구팀은 성그로우에 문제를 알린 뒤 하루 안에 패치가 배포됐다고 밝혔다.

iSolarCloud는 태양광 발전 설비와 인버터, 배터리 저장장치를 관리하는 클라우드 플랫폼이다. 연구팀은 일반 사용자 계정과 관리자 계정이 같은 관리 플랫폼을 사용하며, 취약점이 클라우드의 업무 처리 로직에 있어 유럽·중국·호주·국제 지역 서버 네 곳에 모두 존재했다고 설명했다.

위험은 일반 계정 접근에 그치지 않았다. 연구팀에 따르면 조직 계층 정보나 별도로 발견한 정보 노출 문제를 통해 관리자 이메일 주소를 알아낼 수 있었고, 인증 우회와 결합하면 관리자 계정으로 접근할 수 있었다. 이때 사용자에게 로그인 알림이 전달되지 않았다고 연구팀은 덧붙였다.

관리자 권한을 확보하면 해당 서버에 연결된 발전 설비와 인버터, 배터리 저장장치를 조회하거나 가동·정지하는 등 제어가 가능했다고 연구팀은 밝혔다. 클라우드에 연결된 장치에 펌웨어를 설치할 수 있는 권한도 영향 범위로 제시했다. 다만 이번 원문은 취약점 분석 결과이며, 실제 공격으로 설비가 멈췄거나 정전이 발생했다는 사실을 보고한 것은 아니다.

수정 경과도 연구팀의 설명을 기준으로 구분할 필요가 있다. Jakkaru는 신고 직후 성그로우가 하루 안에 긴급 패치를 내놓았고, 근본 원인과 관련 문제를 분석하기 시작했다고 전했다. 원문에는 구체적인 패치 날짜나 CVE 식별자가 제시되지 않았다. 성그로우 공식 보안 대응 페이지는 제품보안사고대응팀(PSIRT)의 취약점 접수·평가·수정·공개 절차를 안내하지만, 이 사안의 패치 내역을 직접 확인해 주는 별도 공지는 아니다.

Jakkaru는 일반 사용자용 기능과 관리 기능을 분리하고, 발전 설비의 클라우드 연결 필요성을 점검할 것을 권했다. 암호화된 통신만으로는 인증 로직의 결함을 막을 수 없으며, 관리 계정의 접근 권한이 물리적 에너지 설비의 제어로 이어질 수 있다는 점이 이번 연구의 쟁점이다.

출처: Jakkaru 연구자 원문, Marlon Starkloff, Sungrow Vulnerability Exposes Gigawatts of Power Worldwide
https://jakkaru.de/articles/sungrow-vulnerability-exposes-gigawatts-worldwide
성그로우 공식 제품 보안 대응 안내
https://www.sungrowpower.com/en/security-incident-response