🇰🇷 한글 설명
Sinapsi 장치의 PHP 파일에 하드코딩된 관리자 비밀번호가 저장되어 있어, 공격자가 이를 악용하여 관리자 권한으로 로그인할 수 있습니다. 이를 통해 무단 접근 및 장치 전체 제어가 가능합니다.
💡 쉬운 설명
Sinapsi 장치에 고정된 비밀번호가 숨겨져 있어서, 누구나 이 비밀번호를 알면 장치를 완전히 제어할 수 있습니다. 이는 자동 잠금장치에 기본 열쇠가 있는 것과 같습니다.
🇺🇸 원문 (English)
These Sinapsi devices
store hard-coded passwords in the PHP file of the device. By using the
hard-coded passwords in the device, attackers can log into the device
with administrative privileges. This could allow the attacker to have
unauthorized access.
📍 영향받는 시스템
Sinapsi 장치 (PHP 파일이 포함된 웹 인터페이스 기반 모든 버전)
⚔️ 공격 벡터
네트워크를 통해 Sinapsi 장치의 웹 인터페이스에 접근하여 하드코딩된 기본 자격증명으로 로그인
🛡️ 대응 방법
즉시 Sinapsi 장치 펌웨어를 최신 버전으로 업데이트하거나 네트워크 접근을 제한하고 강력한 커스텀 비밀번호로 변경
🔧 검증 코드
Sinapsi 장치의 관리 페이지 소스에서 하드코딩된 비밀번호 또는 자격증명 정보가 노출되면 취약점이 확인된 것입니다.
curl -s http://[device-ip]/admin | grep -i 'password\|credentials' | head -1