🇰🇷 한글 설명
Tinycontrol 장치들(tcPDU, LK3.5, LK3.9, LK4)에서 보조 인증이 기본 비활성화되어 있을 때, 로컬 네트워크의 미인증 공격자가 로그인 페이지의 HTTP 응답 JSON을 통해 사용자명과 인코딩된 비밀번호를 탈취할 수 있습니다. 일반 사용자 및 관리자 자격증명이 모두 노출됩니다.
💡 쉬운 설명
Tinycontrol 콘트롤러의 보안 설정이 기본값으로 꺼져있어서, 누구나 로그인 화면에서 비밀번호를 읽을 수 있습니다. 로컬 네트워크에 접근할 수 있는 누구나 관리자 계정을 탈취할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
Tinycontrol devices such as tcPDU and LAN Controllers LK3.5, LK3.9 and LK4 have two separate authentication mechanisms - one solely for interface management and one for protecting all other server resources. When the latter is turned off (which is a default setting), an unauthenticated attacker on the local network can obtain usernames and encoded passwords for interface management portal by inspecting the HTTP response of the server when visiting the login page, which contains a JSON file with these details. Both normal and admin users credentials are exposed.
This issue has been fixed in firmware versions: 1.36 (for tcPDU), 1.67 (for LK3.5 - hardware versions: 3.5, 3.6, 3.7 and 3.8), 1.75 (for LK3.9 - hardware version 3.9) and 1.38 (for LK4 - hardware version 4.0).
📍 영향받는 시스템
tcPDU (≤1.35), LK3.5 (≤1.66), LK3.9 (≤1.74), LK4 (≤1.37)
⚔️ 공격 벡터
HTTP GET 요청으로 /login 페이지에 접근하여 응답 JSON에서 자격증명 직접 추출
🛡️ 대응 방법
tcPDU는 1.36 이상, LK3.5는 1.67 이상, LK3.9는 1.75 이상, LK4는 1.38 이상으로 펌웨어 업그레이드
🔧 검증 코드
결과에 버전 정보가 JSON 형식으로 평문 노출되면 취약함. 각 기종별 권장 버전보다 낮으면 패치 필요
curl -s http://192.168.1.1/login 2>/dev/null | grep -o '"version":"[^"]*"'
💻 영향받는 소프트웨어
Cisco Crosswork Network Controller