AJCloud AJY IPC 경로 탐색(CVE-2026-56718)｜영향 범위와 대응

2026년 8월 30일 공개된 CVE-2026-56718은 AJCloud AJY IPC 펌웨어의 jdbhttpd 웹 서비스에 존재하는 경로 탐색 취약점입니다. CVE 레코드에 따르면 01.10715.11.37 이전 펌웨어가 영향을 받으며, 인증되지 않은 원격 공격자가 조작한 HTTP 요청으로 기기 파일을 읽을 수 있습니다. 웹 관리 기능이 제공하는 정상 경로를 벗어나 운영체제 파일 영역으로 접근이 이어지는 문제이므로, 카메라가 영상을 정상 전송한다는 사실만으로 안전하다고 판단하기 어렵습니다.

AJY IPC는 네트워크를 통해 영상과 설정을 다루는 카메라입니다. 이 유형의 장비는 영상 스트림, 웹 관리, 무선 네트워크 설정이 한 기기 안에서 맞물립니다. CVE 레코드는 취약한 웹 서비스가 루트 권한으로 읽을 수 있은 임의 파일에 접근할 수 있으며, 그 결과 평문 RTSP 자격정보와 Wi-Fi 자격정보가 노출될 수 있다고 설명합니다. 문제의 중심은 카메라 화면 탈취라는 추측이 아니라, 웹 요청 경계가 기기 내부 파일 읽기 경계로 이어진다는 공식 확인 내용입니다.

취약 경로

경로 탐색은 웹 서버가 요청받은 파일 경로를 정규화하고 허용된 디렉터리 안에 머무는지 확인하는 과정이 충분하지 않을 때 발생합니다. CVE-2026-56718에서는 AJY IPC의 jdbhttpd가 이 경계를 지키지 못합니다. 공격자는 별도 로그인 없이 네트워크를 통해 조작한 HTTP 요청을 보낼 수 있고, 웹 콘텐츠용 디렉터리 바깥의 파일을 읽은 방향으로 처리 흐름을 바꿀 수 있습니다. 여기서 중요한 조건은 공격용 문자열을 재현하는 것이 아니라, 취약 펌웨어의 웹 서비스에 원격 요청이 도달할 수 있는지입니다.

카메라를 인터넷에 직접 공개하지 않았더라도 같은 무선망이나 관리망의 다른 장치에서 웹 서비스에 도달할 수 있다면 내부 접근 경로가 남습니다. 포트 포워딩, UPnP, 원격 관리용 VPN, 클라우드 중계 구성, 공유기 내부의 접근 규칙은 각각 실제 노출 범위를 바꿀 수 있습니다. 따라서 공인 IP 검색 결과만 확인하고 끝내지 말고, 외부와 내부에서 카메라의 웹 관리 인터페이스로 들어오는 경로를 분리해 살펴봐야 합니다. 수정판 적용 전의 접근 제한은 노출면을 줄이는 보완책이며 취약 코드 자체를 제거하는 조치는 아닙니다.

확인된 영향

CVE 레코드가 명시한 영향은 루트 권한으로 읽을 수 있은 임의 파일의 노출입니다. 특히 RTSP 자격정보는 카메라 영상 스트림에 접근하는 인증 경계와 연결되고, Wi-Fi 자격정보는 카메라가 접속한 무선 네트워크의 인증 경계와 연결됩니다. 두 종류의 정보가 같은 기기 파일에서 읽힐 수 있다는 점 때문에 대응 범위는 펌웨어 교체에만 머물지 않습니다. 취약한 기간에 사용했던 RTSP 계정과 무선 네트워크 설정을 함께 점검하고, 수정 적용 뒤 자격정보를 변경해 이전 값의 재사용 가능성을 끊어야 합니다.

파일 읽기 취약점과 설정 변경 취약점은 구분해야 합니다. 공식 기록이 확인한 것은 파일 읽기이므로, 대응도 확인된 노출 경계를 기준으로 설계하는 편이 정확합니다. 카메라의 정상 영상, 녹화 상태, 설정 화면만 확인해서는 파일 읽기 시도를 판별할 수 없습니다. 반대로 장비를 곧바로 공장 초기화하면 기존 네트워크·영상 설정과 조사 단서를 잃을 수 있습니다. 운영 중인 장비라면 모델, 현재 펌웨어, 네트워크 위치, 관리 접근 경로, RTSP 사용 계정을 먼저 기록한 뒤 수정과 자격정보 변경 순서를 정하는 것이 좋습니다.

영향 범위 확인

우선 카메라 본체 라벨과 관리 화면에서 제품 계열이 AJCloud AJY IPC인지 확인하고 현재 펌웨어를 기록합니다. CVE 레코드의 영향 경계는 01.10715.11.37 이전입니다. 여러 대를 운영한다면 앱에 표시된 장치명만으로 묶지 말고 각 장비의 모델 식별값, 펌웨어, MAC 주소, 설치 위치를 한 줄씩 대응시켜야 누락을 줄일 수 있습니다. 동일 장소의 카메라도 구매 시기나 업데이트 이력에 따라 펌웨어가 다를 수 있습니다. 창고에 보관한 예비 장비와 장애 시 교체할 장비도 실제 투입 시 취약 버전이 다시 들어오지 않도록 같은 목록에 포함합니다.

• AJCloud AJY IPC 제품 계열과 각 장비의 실제 펌웨어
• 공유기 포트 포워딩·UPnP·원격 관리 설정
• 카메라 웹 관리 인터페이스에 접근할 수 있은 내부망 구간
• 카메라에서 사용하는 RTSP 계정과 연동 애플리케이션
• 카메라가 접속한 Wi-Fi SSID와 동일 자격정보 사용 범위
• 예비 장비·교체 장비·초기화 이미지의 펌웨어 상태

네트워크 측에서는 카메라의 주소와 연결된 방화벽·공유기 규칙을 확인합니다. 관리용 웹 서비스는 운영자 단말이나 별도 관리망에서만 접근하도록 범위를 좁히고, 외부에서 카메라 포트로 직접 전달되는 규칙은 다룹니다. 자동 포트 개방 기능을 사용했다면 수동 규칙만 보는 것으로는 충분하지 않습니다. 카메라가 일반 사용자 단말과 같은 무선망에 있다면 별도 IoT 구간이나 게스트망으로 분리하고, 필요한 영상 수신기와 관리 단말 사이의 통신만 허용하는 구조가 수정 후 재노출을 줄이는 데 도움이 됩니다.

수정판 적용

공식 수정 경계는 펌웨어 01.10715.11.37입니다. 업데이트 전에는 장비 모델과 공급 경로가 맞는지 확인하고, 제조사 또는 공식 지원 경로에서 제공한 펌웨어만 사용합니다. 다른 모델용 파일이나 출처가 불분명한 미러 파일은 장비 손상과 공급망 위험을 키울 수 있습니다. 전원과 네트워크가 안정된 상태에서 업데이트를 진행하고, 여러 대라면 한 대를 먼저 적용해 부팅·영상·녹화·시간 동기화·원격 관리가 정상인지 확인한 뒤 나머지 장비로 범위를 넓히는 방식이 안전합니다.

업데이트 완료 화면만 보지 말고 재부팅 뒤 실제 펌웨어가 수정 경계 이상으로 표시되는지 다시 확인합니다. 카메라가 여러 관리 앱이나 NVR에 연결돼 있다면 RTSP 스트림과 녹화가 정상적으로 재개되는지 확인하고, 웹 관리 접근 제한이 유지되는지도 점검합니다. 초기화가 필요한 경우에는 수정 펌웨어를 적용한 상태에서 설정을 복원하며, 취약한 전체 설정 백업을 무심코 되돌려 외부 공개 규칙이나 이전 자격정보를 재적용하지 않도록 항목별로 검토합니다.

1. 장비별 모델·펌웨어·네트워크 위치와 웹 관리 접근 경로를 기록합니다.
2. 공식 수정 펌웨어를 확보하고 한 대에서 먼저 업데이트와 재부팅을 완료합니다.
3. 수정 경계 이상인지 확인한 뒤 영상 스트림·녹화·관리 접속을 검증합니다.
4. 외부 포트 전달과 UPnP를 정리하고 웹 관리를 허용된 내부 구간으로 제한합니다.
5. RTSP 자격정보를 변경하고 연동 NVR·앱에 새 값을 반영합니다.
6. Wi-Fi 자격정보의 공유 범위를 검토하고 필요하면 변경 후 모든 장비를 재연결합니다.

자격정보와 네트워크

RTSP 자격정보는 수정판 적용 뒤 변경합니다. 기존 계정을 NVR, 홈 오토메이션, 모니터링 소프트웨어 등 여러 곳에서 함께 사용했다면 연결 대상을 목록으로 만든 뒤 순서대로 새 값을 반영합니다. 장비마다 서로 다른 강한 자격정보를 사용하면 한 대의 값이 노출됐을 때 다른 카메라로 접근이 번지는 범위를 줄일 수 있습니다. 변경 후에는 이전 자격정보로 스트림이 열리지 않는지와 새 자격정보로 필요한 수신기만 정상 연결되는지를 각각 확인합니다.

Wi-Fi 자격정보는 카메라 한 대가 아니라 같은 네트워크에 참여하는 모든 장치에 영향을 줍니다. 변경이 필요하다면 업무 중단을 줄일 수 있도록 새 SSID 또는 별도 IoT망을 먼저 준비하고, 공유기·접근점, 카메라, 관리 단말 순서로 전환 계획을 세웁니다. 카메라를 별도 구간으로 옮긴 뒤에는 인터넷과 내부망으로 나가는 통신을 필요한 목적지와 포트로 제한합니다. 웹 관리 기능은 상시 외부 공개보다 VPN이나 관리망을 통한 접근으로 바꾸고, 공유기에서 자동으로 다시 열린 포트가 없는지 재부팅 뒤 확인합니다.

적용 후 검증

마지막 검증은 버전, 접근, 기능 세 축으로 나눕니다. 버전에서는 모든 장비가 수정 경계 이상인지 확인하고, 접근에서는 외부와 일반 사용자망에서 웹 관리 포트가 차단되는지 다룹니다. 기능에서는 실시간 영상, 녹화, 이벤트 알림, 시간 동기화, NVR 연결을 확인합니다. 장비 목록과 네트워크 규칙을 함께 남기면 이후 교체나 초기화 때 같은 취약 펌웨어와 공개 설정이 되돌아오는 것을 막을 수 있습니다. CVE-2026-56718 대응은 펌웨어 적용, 웹 관리 노출 축소, RTSP·Wi-Fi 자격정보 정리를 한 흐름으로 완료해야 합니다.