Offcanvas

로봇|자동화 / 보안 / 의료|의학

美 병원 물류 로봇에서 보안 취약점 발견··· "수술 및 진료 방해 우려 있다"

2022.04.15 Lucian Constantin  |  CSO
많은 기업이 반복적이고 시간이 소요되는 작업을 자동화하기 위해 IT 솔루션을 도입하고 있다. 병원도 마찬가지다. 로봇을 비롯한 자동화 기기는 중요한 인적 자원을 확보하고 작업 효율을 높이는 데 도움이 되지만, 자동화 도입 전에는 대응할 필요가 없었던 위험을 발생시킬 수 있다.
 
ⓒ Getty Images Bank

최근 자동화 로봇 개발 업체 에이손(Aethon)의 모바일 자율 로봇 제품군 TUG에서 5가지 심각한 취약점이 발견되면서 이런 문제점이 특히 두드러졌다. TUG는 음식, 의약품, 실험실 검체, 병원 시설의 기타 지급품을 운반하도록 고안된 물류 로봇이다. 전 세계 병원에 배치된 TUG는 센서와 카메라를 사용해 복도를 통과하고 와이파이를 통해 엘리베이터 및 자동문과 상호작용한다.


JekyllBot:5 취약점

의료 IoT 보안 업체 시네리오(Cynerio)는 고객 병원의 보안 문제를 조사하는 과정에서 TUG의 취약점을 발견했다. 엘리베이터 네트워크 트래픽의 이상 현상을 분석한 결과, 문제점이 병원 내 배치된 TUG 로봇이 통신하는 포털과 연결돼 있었던 것이다. 해당 포털은 로봇의 레이아웃 지도와 비디오 피드를 포함하고 있어 로봇 모니터링 및 관리에 사용된다. 시네리오는 관리 포털인 TUG 홈 베이스(TUG Home Base) 서버를 분석하면서 5가지 보안 문제와 공격 벡터를 포착했다. 시네리오 연구팀은 이를 ‘JekyllBot:5’라고 이름 붙였다.

해당 서버에는 포트 8081에서 작동하는 웹 기반 API(v3), 포트 8080에서 로봇에 명령을 전송하는 데 사용되는 웹소켓 인터페이스, 표준 HTTP 포트 80에서 작동하는 웹서비스 및 구식 API(v2) 등 3개의 통신 인터페이스가 노출돼 있다. 시네리오 연구팀은 보고서를 통해 “상기 목록에서 후자 2개(80 및 8080) 중 하나가 노출된다면 본 문서에 설명된 취약점으로 인해 공격자가 시스템과 로봇 전체를 장악할 수 있다. 포트만 막는다고 해서 시네리오 라이브(Cynerio Live)팀이 발견한 심각한 취약점을 방어할 수 없다”라고 밝혔다.

v2 API(포트 80)는 특정한 요청 또는 동작 수행 시 권한을 적절히 확인하지 않는 결함이 있었다. 승인되지 않은 공격자는 이 결함을 통해 관리자 권한이 있는 새로운 사용자를 추가하고 기존 사용자를 변경할 수 있다. CVE-2022-1066으로 명명된 결함은 대표적인 권한 상승 문제다. CVSS 점수 10점(높음) 만점에 8.2점을 받았다.

v3 API(포트 8081)에서 확인된 결함(CVE-2022-26423)도 권한 상승 결함으로, v2 API 취약점과 CVSS 점수가 같다. v3 API 결함은 승인되지 않은 공격자에게 해시 처리된 사용자 비밀번호에 대한 액세스를 제공한다. 이를 통해 입수한 비밀번호로 추후 공격자는 무차별 대입 공격을 사용해 사용자 계정을 해킹할 위험이 있다.

웹소켓 인터페이스에서 발견된 취약점(CVE-2022-1070, CVSS 점수 9.8)은 TUG 홈 베이스 서버와 로봇 사이의 부적절한 인증에서 발생한다. 이를 통해 인증된 공격자는 서버에 연결하고 로봇을 완벽하게 통제할 수 있다.

시네리오의 연구팀은 “극단적인 경우 공격자는 무단 액세스를 통해 로봇을 조작하여 승인되지 않거나 모욕적인 말을 하여 환자와 직원을 괴롭히고, 스마트 엘리베이터와 도어를 제어하거나 차단해 중요한 환자 또는 수술을 방해하며, 심지어 의료 제도를 변경해 환자 진료 및 결과가 위험해지는 상황에 이를 수 있다”라고 설명했다.

또한 공격자는 로봇의 사진 촬영 및 비디오 녹화 기능에 대한 액세스를 확보해 환자나 직원을 감시할 수 있다. 가상 조이스틱을 사용한 이동 제어 기능도 포털에 노출되기 때문에 공격자는 로봇을 사람이나 기타 민감한 의료 장비에 충돌시킬 수 있다.

마지막 2가지 취약점인 CVE-2022-27494 및 CVE-2022-1059는 포털의 웹 인터페이스를 통한 XSS(Cross Site Scripting) 공격을 가능하게 한다. 공격자는 이들 취약점을 악용해 인증 사용자의 브라우저를 실행하는 FMC(Fleet Management Console)의 ‘보고서’ 탭에 악성 자바스크립트 코드를 주입할 수 있다. 이런 유형의 공격으로 공격자는 관리 사용자 세션을 탈취하고 사용자의 브라우저에 멀웨어를 주입하여 병원의 IT 네트워크와 인프라를 추가로 공격할 수 있다.

본래 TUG 홈 베이스 서버는 로컬 네트워크를 통해서만 접근해야 하지만, 시네리오 연구팀은 이 서버가 인터넷에 직접 노출돼 소유자에게 알림을 제공하는 경우가 많다는 점도 발견했다.


의료 부문의 사이버보안 문제 확대

시네리오 연구팀은 5가지 취약점을 공개하기에 앞서 에이손 및 미국 사이버보안 및 인프라 보안국(Cybersecurity and Infrastructure Security Agency, CISA)과 긴밀히 협력했고, 에이톤은 취약점을 해결하기 위한 소프트웨어 및 펌웨어 패치를 공개했다. 이 결함은 버전 24 이전의 모든 버전의 로봇에 영향을 미친다.

시네리오 연구팀은 “에이손의 각 고객 병원에 있는 로봇에 여러 패치가 적용되었으며, 일부 병원에서는 로봇의 펌웨어를 교체하는 패치와 운영체제 업데이트가 함께 진행됐다. 아울러 에이손은 취약한 로봇이 있는 것으로 알려진 특정 병원의 방화벽을 업데이트해 병원의 IP주소를 통한 액세스를 방지했다”라고 말했다.

의료 부문의 사이버보안 연구는 주로 장애 또는 남용 시 환자의 건강에 직접적인 영향을 미칠 수 있는 환자 모니터링 및 의약품 관리, MRI, 기타 유형의 스캐너와 직접 관련된 장치에 집중되어 있었다. 하지만 여러 보고서에서 밝혔듯이 병원에서의 물품 운송 등 물류 작업도 점차 자동화되고 있으며, 이런 시스템의 혼란은 직원의 효율적인 작업과 비상사태 대응에 영향을 미칠 수 있다. 예를 들어, 2021년 아르미스(Armis)의 연구팀은 여러 병원에서 부서 간 실험실 검체, 혈액 제품, 테스트, 의약품 등 민감한 물질 운송에 사용하는 PTS(Pneumatic Tube System)에서 심각한 결함을 발견한 바 있다.
editor@itworld.co.kr
추천 테크라이브러리

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.