2026년 7월 보안 분석 기업 runZero가 ChaN이 개발한 FatFs 파일시스템 모듈에서 패치되지 않은 7건의 결함을 공개했다. USB 드라이브와 SD 카드 컨트롤러를 포함한 수백만 대의 임베디드 기기 펌웨어가 영향을 받는 것으로 추정되며, FatFs는 FAT 및 exFAT 포맷의 읽기와 쓰기 경로 양쪽에서 호출된다. 본 글은 사건의 기술적 배경과 국내 임베디드 IoT 생태계에 대한 영향, 그리고 단기와 장기 대응 전략을 정리한다.
- FatFs 파일시스템에서 패치되지 않은 7건의 결함이 runZero에 의해 공개됐다.
- 결함은 FAT 및 exFAT 포맷의 읽기와 쓰기 경로 양쪽에서 발생한다.
- FatFs는 USB 드라이브, SD 카드 컨트롤러, 산업용 IoT 기기 등 수백만 대 펌웨어에 내장돼 공급망 측 일괄 패치가 사실상 불가능하다는 분석이다.
FatFs는 단일 라이브러리지만 수백만 대 펌웨어에 중복 배포되는 구조라, 패치 누락 한 번이 대규모 익스플로잇 표면으로 직결된다.
FatFs 취약점 사건의 개요
FatFs란 무엇인가
FatFs는 ChaN이 개발한 모듈형 FAT 파일시스템이다. 임베디드 기기 펌웨어에 소스코드 형태로 통합되며, SD 카드, USB 메모리, NAND 컨트롤러 등 다양한 저장 매체에서 FAT12, FAT16, FAT32, exFAT 포맷을 읽고 쓰는 데 사용된다. 영문 표기상 다른 FatFs 포팅 구현과 혼동되기도 하지만, 본 사건의 대상은 ChaN이 개발한 원본 FatFs 모듈이다.
runZero가 밝힌 7건의 결함 위치
runZero의 책임 있는 공개에 따르면 결함은 FAT/exFAT 포맷의 읽기 경로와 쓰기 경로에서 모두 발견됐다. 정확한 CVE 번호 등 추가 식별자는 확인되지 않으며, 이번에 공개된 건수와 영향 범위는 원문 기사 기준 7건, 수백만 대 펌웨어 내장 표현을 그대로 인용한다. 원문은 The Hacker News 기사와 runZero 공식 사이트에서 확인할 수 있다.
왜 이 사건이 수백만 대 규모로 번지는가
펌웨어 내장 라이브러리의 구조적 문제
FatFs는 패키지 매니저로 배포되는 일반 오픈소스와 달리, 펌웨어 빌드 시점에 소스코드가 통째로 복사되어 컴파일된다. 이 때문에 업스트림에 패치가 발표되더라도 각 제품 제조사가 직접 코드를 통합해 다시 빌드하고 OTA로 배포하지 않는 한 결함이 잔존한다. runZero도 같은 이유로 공급망 측 일괄 패치 적용이 어렵다는 점을 지적했다.
USB와 SD 카드 경로의 익스플로잇 시나리오
악의적으로 조작된 FAT 또는 exFAT 이미지 파일이 USB 드라이브나 SD 카드를 통해 기기에 삽입되면, 읽기 경로에서 메모리 손상이, 쓰기 경로에서는 파일시스템 메타데이터 변조가 발생할 수 있다. 산업 현장에서 외래 매체를 정기적으로 삽입하는 키오스크, 의료 기기, 차량용 인포테인먼트 단말은 노출 표면이 더 넓다.
국내 임베디드 IoT 생태계에 미치는 영향
한국 SD 카드 및 USB 컨트롤러 시장과의 연관성
한국은 SD 카드 컨트롤러와 USB 스토리지 분야의 핵심 공급지이다. 국내 중소규모 펌웨어 업체가 FatFs를 레퍼런스 코드로 채택해 자사 제품에 통합하는 사례가 존재할 가능성은 분석적 해석에 기반한 추정치다. 다만 동일 코드베이스가 재사용되는 특성을 고려하면, 국내 출시 제품 중 일부는 본 사건의 영향권에 들어 있을 가능성이 있는 것으로 보인다.
산업용 의료용 자동차용 기기로 확산 가능성
FatFs는 산업용 IoT 게이트웨이, 환자 모니터링 단말, 차량용 블랙박스와 같은 분야에서도 흔히 사용된다. 외래 매체 기반 업데이트나 데이터 수집을 허용하는 기기일수록 위험도가 상대적으로 높아질 수 있다.
대응 전략 및 권장 조치
영향 받는 빌드 확인 체크리스트
- 펌웨어 빌드 디렉터리에서 ff.c, ff.h, ffsystem.c 등 FatFs 핵심 소스가 직접 포함되어 있는지 점검
- exFAT 지원 옵션 FF_FS_EXFAT이 활성화되어 있는지 빌드 플래그 확인
- SD 카드 또는 USB 드라이브 경로에서 f_open, f_read, f_write 호출 지점 식별
- 외래 매체를 허용하는 제품군부터 우선 조사 대상으로 분류
단기 완화책: 입력 검증 및 외래 매체 신뢰 거부
FatFs 패치를 즉시 적용할 수 없는 상황에서는 다음 조치가 단기 완화策으로 활용될 수 있다.
- 외래 매체에 대한 디지털 서명 검증 도입
- 파일시스템 마운트 전 미디어 제조사 식별자(MID)와 OEM ID 화이트리스트 검사
- 읽기 전용 모드 전환 옵션을 사용자 또는 관리 인터페이스에 노출
- 이상 동작 발생 시 펌웨어 워치독으로 자동 리부트 및 로그 원격 전송
장기 전략 FatFs 대체 파일시스템 검토
결함이 노출된 라이브러리에 장기 의존하는 것은 공급망 리스크를 누적시킨다. 장기적으로는 LittleFS, SafeFAT, 자체 파일시스템 모듈 등 대안을 검토하고, 라이선스 호환성과 마이그레이션 비용을 함께 평가해야 한다. 또한 OTA 파이프라인에서 FatFs 관련 모듈을 별도 패키지로 분리해 패치 적용을 자동화하는 구조로 전환하는 것이 바람직하다.
공급망 관점의 시사점과 전망
이번 사건은 단일 라이브러리 결함이 동일 코드 사본을 공유하는 수백만 대 기기로 동시에 전파되는 전형적인 오픈소스 공급망 취약점 사례다. ChaN의 FatFs처럼 사실상 표준처럼 자리 잡은 모듈일수록 빌드 시점 통합이라는 특성이 오히려 패치 지연을 가중시킨다. 국내 제조사 입장에서 SBOM 기반의 컴포넌트 가시성 확보와 OTA 자동 패치 인프라 도입은 선택이 아닌 필수 과제로 부상하고 있다. 향후에도 유사한 사건이 반복될 가능성이 높으며, 펌웨어 단계에서의 컴포넌트 카탈로그 운영이 보안 성숙도의 핵심 지표가 될 것으로 분석된다.
핵심 정리
- FatFs 결함은 FAT 및 exFAT 읽기와 쓰기 경로에서 발생하며 패치되지 않은 상태로 공개됐다.
- 수백만 대 임베디드 펌웨어에 내장된 라이브러리 특성상 공급망 일괄 패치가 사실상 불가능하다.
- 국내 외래 매체를 허용하는 USB, SD 카드 기반 IoT 제품군은 단기 입력 검증과 장기 라이브러리 교체를 병행해야 한다.