🇰🇷 한글 설명
Carlo Gavazzi EOS-Box 장치의 PHP 파일에 하드코딩된 비밀번호가 저장되어 있어 공격자가 관리자 권한으로 무단 접근할 수 있는 취약점입니다. 이를 통해 장치의 설정 변조, 제어 시스템 장애 유발 등이 가능합니다.
💡 쉬운 설명
Carlo Gavazzi EOS-Box라는 기기의 프로그램에 누구나 알 수 있는 비밀번호가 고정으로 저장되어 있습니다. 누구든지 이 비밀번호로 관리자로 접속하여 기기를 마음대로 조작할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
The Carlo Gavazzi
EOS-Box
stores hard-coded passwords in the PHP file of
the device. By using the hard-coded passwords, attackers can log into
the device with administrative privileges. This could allow the attacker
to have unauthorized access.
📍 영향받는 시스템
Carlo Gavazzi EOS-Box 에너지 관리 시스템 (모든 버전 영향)
⚔️ 공격 벡터
네트워크를 통해 장치의 웹 인터페이스에 접속하여 하드코딩된 관리자 비밀번호로 로그인
🛡️ 대응 방법
장치 펌웨어 업데이트 또는 기본 비밀번호 변경, 네트워크 접근 제한 및 강화된 인증 메커니즘 구현
🔧 검증 코드
대상 장치 IP에 기본 자격증명(admin:admin)으로 접속 시도, 성공하면 취약점 존재, 실패하면 조치됨 또는 네트워크 차단됨
curl -s -u admin:admin http://target-device-ip/admin/ | grep -q 'successful\|dashboard' && echo 'VULNERABLE' || echo 'NOT_ACCESSIBLE'