🇰🇷 한글 설명
Crestron TSW-X60 및 MC3 장치의 특정 버전에서 일반 사용자 권한으로 sudo 계정의 비밀번호를 계산할 수 있는 취약점이 발견되었습니다. 공격자는 이 비밀번호를 해독하여 숨겨진 API 호출을 실행하거나 샌드박스 환경을 탈출하여 높은 권한을 획득할 수 있습니다.
💡 쉬운 설명
일반 사용자 권한만으로 관리자 비밀번호를 알아낼 수 있는 보안 결함입니다. 이를 통해 해커가 시스템의 통제권을 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Crestron TSW-X60 all versions prior to 2.001.0037.001 and MC3 all versions prior to 1.502.0047.00, The passwords for special sudo accounts may be calculated using information accessible to those with regular user privileges. Attackers could decipher these passwords, which may allow them to execute hidden API calls and escape the CTP console sandbox environment with elevated privileges.
📍 영향받는 시스템
Crestron TSW-X60 (2.001.0037.001 미만), MC3 (1.502.0047.00 미만)
⚔️ 공격 벡터
일반 사용자 권한을 이용한 sudo 계정 비밀번호 계산 및 API 호출을 통한 권한 상승
🛡️ 대응 방법
장치 펌웨어를 최신 버전(TSW-X60: 2.001.0037.001 이상, MC3: 1.502.0047.00 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약점이 해결된 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://[DEVICE_IP]/api/version | grep -E '("version":"2.001.0037.001"|"version":"1.502.0047.00")'