Session Smart Router 경로 조작·명령어 삽입 업데이트

무슨 일이 생겼나요

KISA 보호나라는 Juniper Networks의 Session Smart Router와 Session Smart Conductor에 대한 보안 업데이트를 권고했어요. 건물에서 출입문과 관리실의 잠금장치를 각각 점검하듯, 두 제품을 함께 사용하는 환경에서는 제품마다 해당하는 취약점과 해결 버전을 따로 살펴봐야 해요.

이번 권고에는 CVE라는 취약점 식별번호로 구분하는 10개의 취약점이 포함돼 있어요. 취약점 유형은 경로 조작, 명령어 삽입, 메모리 손상이에요. 다만 각각의 식별번호가 어느 유형에 해당하는지, 어떤 기능에서 발생하는지까지는 확인되지 않았어요.

두 제품에 공통으로 해당하는 취약점도 있고, 특정 제품에만 표시된 취약점도 있어요. 특히 CVE-2026-106079는 Session Smart Router의 7.0.5 미만과 해결 버전인 7.0.5 이상만 명시돼 있어요. 다른 취약점에 적힌 버전 기준을 이 항목에 그대로 적용해서는 안 돼요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

경로 조작은 파일이나 자원의 위치를 나타내는 값을 잘못 다뤄, 의도한 범위를 벗어난 위치를 참조하게 될 수 있는 문제예요. 명령어 삽입은 입력값이 실행할 명령의 일부로 해석될 수 있는 문제예요. 메모리 손상은 프로그램이 작업 중 사용하는 기억 공간을 잘못 다루는 문제예요. 이번 권고에 이 유형들이 포함돼 있지만, 개별 CVE와 유형의 대응 관계나 실제 처리 흐름은 확인되지 않았어요.

Session Smart Router와 Session Smart Conductor에 함께 표시된 식별번호는 CVE-2026-103401, CVE-2026-103402, CVE-2026-103403, CVE-2026-103407이에요. CVE-2026-103406은 Session Smart Conductor에 표시돼 있어요. CVE-2026-103408, CVE-2026-103409, CVE-2026-103410, CVE-2026-103411, CVE-2026-106079는 Session Smart Router에 표시돼 있어요. 제품을 구분해야 업데이트 대상과 점검 범위를 정확하게 정할 수 있어요.

CVE-2026-106079를 제외한 항목에는 해당 제품별로 7.0.5 미만에서 7.0.5 이상, 7.1.7 미만에서 7.1.7 이상, 7.2.3 미만에서 7.2.3 이상이라는 영향·해결 기준이 적혀 있어요. 이 기준들을 하나의 연속된 버전 범위처럼 합쳐 판단하지 말고, 현재 설치 버전에 대응하는 기준을 제조사 공지에서 확인해야 해요.

구체적인 코드 원인과 공격에 필요한 인증 여부, 권한, 접근 가능한 기능은 확인되지 않았어요. 취약점 유형만으로 외부에서 인증 없이 공격할 수 있다고 판단할 수는 없어요. 취약점의 심각도를 수치로 나타내는 CVSS 점수와, 약점 유형을 분류하는 CWE 식별번호도 확인되지 않았어요. 따라서 점수에 따른 위험 등급이나 개별 취약점의 공격 난이도를 붙여 설명할 수는 없어요.

누가 영향을 받나요

일반 사용자

확인할 대상은 이용 중인 네트워크 환경에 Session Smart Router나 Session Smart Conductor가 있는지예요. 자신의 휴대전화나 개인 컴퓨터가 이번 업데이트 대상이라고 바로 연결해서 생각할 필요는 없어요. 회사나 기관에서 관리하는 환경이라면 담당자에게 해당 제품의 사용 여부와 업데이트 적용 상태를 확인해 달라고 요청하면 돼요.

이번 권고만으로 개인정보 유출이나 통신 장애가 발생했다고 판단할 수는 없어요. 일반 이용자가 직접 장비 설정을 바꾸기보다는, 담당자가 제품과 설치 버전을 대조하고 필요한 업데이트를 적용했는지 확인하는 것이 이번 권고에 맞는 대응이에요.

개발자

Session Smart Router나 Session Smart Conductor를 사용하는 환경에서 개발하거나 운영을 지원한다면, 애플리케이션 배포와 별도로 해당 제품의 업데이트가 필요한지 확인해야 해요. 이번 해결 조치는 제품 소프트웨어의 버전을 기준으로 제시돼 있어요. 애플리케이션 코드 수정만으로 이번 권고의 조치를 마쳤다고 볼 수는 없어요.

취약점 재현이나 영향 분석을 맡았다면, 경로 조작·명령어 삽입·메모리 손상이라는 이름만 보고 입력 지점이나 공격 방법을 추정하지 않아야 해요. 담당자에게 제품명, 설치 버전, 해당 CVE를 전달하고 제조사 공지의 적용 조건과 대조해요. 특히 Session Smart Conductor에만 표시된 CVE-2026-103406과 Session Smart Router에만 표시된 항목들을 구분해 전달하면 점검 범위가 분명해져요.

서버·장비 담당자

장비 담당자는 Session Smart Router와 Session Smart Conductor를 각각 자산 목록에서 찾아 설치 버전을 확인해야 해요. 두 제품을 함께 운영하더라도 어느 한쪽의 업데이트 완료만으로 전체 조치가 끝난 것으로 처리하지 않아야 해요. 각 장비에서 확인한 버전을 해당 제품의 영향·해결 기준과 연결해 기록해요.

업데이트 목표는 현재 설치 버전에 대응하는 해결 기준을 충족하도록 정해야 해요. 7.0.5 이상, 7.1.7 이상, 7.2.3 이상이라는 표기를 서로 바꿔 적용하지 말고 제조사 공지에서 적용할 업데이트를 확인해요. CVE-2026-106079는 Session Smart Router의 7.0.5 미만과 7.0.5 이상만 명시돼 있으므로, 다른 버전의 영향 여부를 임의로 확대하거나 제외하지 않아야 해요.

지금 할 일

1. 관리 중인 자산에서 Session Smart Router와 Session Smart Conductor의 사용 여부를 확인해요. 두 제품을 함께 사용한다면 제품별로 점검 대상을 구분해요.
2. 각 장비에서 show version으로 소프트웨어 버전을 확인하고, 제품명과 함께 기록해요. 설치 버전을 확인하지 않은 장비는 업데이트 대상 판단을 완료한 것으로 처리하지 않아요.
3. 제품별 CVE를 대조해요. 두 제품에 함께 표시된 항목과 Session Smart Conductor에만 표시된 CVE-2026-103406, Session Smart Router에만 표시된 항목을 구분해요.
4. 현재 설치 버전에 대응하는 영향·해결 기준을 제조사 공지에서 확인해요. 7.0.5 미만은 7.0.5 이상, 7.1.7 미만은 7.1.7 이상, 7.2.3 미만은 7.2.3 이상이라는 각 기준을 대조하고, CVE-2026-106079의 별도 범위도 확인해요.
5. 적용할 업데이트와 운영상 필요한 준비를 확인한 뒤 제조사 공지의 업데이트 절차를 따라야 해요. 메뉴 위치나 설치 방법을 추정해서 진행하지 않아요.
6. 업데이트 후 각 장비의 버전을 다시 확인하고, 해당 해결 기준 충족 여부와 기존에 사용하던 기능의 동작 상태를 기록해요.

show version

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 적용 가능한 임시 대응이 있는지 먼저 확인해요. 그 내용을 전제로 Session Smart Router와 Session Smart Conductor에 대한 불필요한 접근과 외부 노출을 줄일 수 있는지 검토해요.
• 접근 제한을 적용하더라도 이번 취약점이 해결됐다고 처리하지 않아요. 해당 조치가 적용되는 범위와 운영 영향을 제조사 공지에서 확인하고, 해결 버전으로 업데이트하는 작업을 이어가요.

업데이트 후 확인

• 업데이트한 각 장비에서 show version을 다시 실행해 실제 설치 버전을 확인해요. 업데이트 파일을 준비하거나 작업을 시작했다는 기록만으로 완료를 판단하지 않아요.
• 확인한 버전을 해당 제품에 적용되는 7.0.5 이상, 7.1.7 이상, 7.2.3 이상의 해결 기준과 대조해요. CVE-2026-106079는 Session Smart Router의 7.0.5 이상이라는 별도 표기를 확인해요.
• Session Smart Router와 Session Smart Conductor를 함께 사용한다면 두 제품 모두 점검됐는지 확인해요. 제품별 버전과 해당 CVE에 대한 조치 상태가 기록에 남아 있어야 해요.
• 업데이트 후 기존에 사용하던 통신과 관리 기능이 정상적으로 동작하는지 확인해요. 이 동작 확인은 버전 확인과 함께 진행하며, 기능이 정상이라는 이유만으로 해결 버전 확인을 생략하지 않아요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

CVE가 10건이나 돼서 건별 점수는 제조사 공지와 NVD에서 확인하세요.

제조사 공식 공지

• https://supportportal.juniper.net/JSA112183

자주 묻는 질문

Q. Session Smart Router와 Session Smart Conductor에 같은 취약점이 모두 적용되나요?

제품별로 달라요. CVE-2026-103401, CVE-2026-103402, CVE-2026-103403, CVE-2026-103407은 두 제품에 함께 표시돼 있어요. CVE-2026-103406은 Session Smart Conductor에 표시돼 있고, CVE-2026-103408, CVE-2026-103409, CVE-2026-103410, CVE-2026-103411, CVE-2026-106079는 Session Smart Router에 표시돼 있어요.

Q. 해결 버전이 여러 개 적혀 있으면 어떤 버전으로 업데이트하나요?

현재 설치 버전에 대응하는 해결 기준을 제조사 공지에서 확인해야 해요. 7.0.5 미만과 7.0.5 이상, 7.1.7 미만과 7.1.7 이상, 7.2.3 미만과 7.2.3 이상을 각각 연결해 살펴봐요. CVE-2026-106079에는 Session Smart Router의 7.0.5 미만과 7.0.5 이상만 명시돼 있으므로 다른 항목의 기준을 그대로 가져오면 안 돼요.

Q. CISA KEV 등재 상태는 어떻게 되나요?

CISA KEV 에는 아직 등재되지 않았다.