🇰🇷 한글 설명
Meari IoT Cloud Platform OpenAPI 서비스에서 인증된 사용자가 소유하지 않은 기기의 설정을 조작할 수 있는 권한 결함이 발견되었습니다. 이 취약점을 통해 공격자는 소유권이나 권한 검증 없이 기기 설정을 변경하거나 의도하지 않은 동작을 유발할 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사람의 IoT 기기 설정을 마음대로 바꿀 수 있는 보안 허점이 발견되었습니다. 이를 통해 공격자가 남의 스마트 기기를 제어하거나 오작동하게 만들 수 있습니다.
🇺🇸 원문 (English)
The Meari IoT Cloud Platform OpenAPI Service is vulnerable to an authorization flaw that allows authenticated users to manipulate the configurations of devices they do not own. This vulnerability enables attackers to perform unauthorized actions, such as altering device settings or triggering unintended behaviors, without verifying ownership or permissions.
📍 영향받는 시스템
Meari IoT Cloud Platform OpenAPI Service
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 미흡한 API를 호출하여 타인의 기기 설정 변경
🛡️ 대응 방법
API 요청 시 기기 소유권 및 사용자 권한을 검증하는 로직을 구현하고 패치 적용
🔧 검증 코드
타인의 기기 ID로 설정 변경 요청 시 권한 오류(403 Forbidden 등)가 발생하는지 확인
curl -s -X GET 'https://api.meari.com/v1/device/config' -H 'Authorization: Bearer [TOKEN]' | grep -E 'error|unauthorized'