🇰🇷 한글 설명
RustDesk 클라이언트의 주소록 동기화 과정에서 설정된 비밀번호가 평문 형태로 하트비트 동기화 JSON 본문에 포함되어 전송되는 취약점입니다. HTTPS를 사용하더라도 API 엔드포인트가 탈취되거나 변조될 경우, 공격자가 재사용 가능한 공유 비밀값을 획득하여 서버 측 주소록에 접근할 수 있습니다.
💡 쉬운 설명
프로그램이 주소록을 동기화할 때 비밀번호를 암호화하지 않고 그대로 노출하여 전송하는 문제입니다. 만약 공격자가 가짜 서버를 만들어 연결을 유도하면 사용자의 비밀번호를 쉽게 훔칠 수 있습니다.
🇺🇸 원문 (English)
Cleartext Transmission of Sensitive Information, Insufficiently Protected Credentials vulnerability in rustdesk-client RustDesk Client rustdesk-client on Windows, MacOS, Linux, iOS, Android (Address book sync, Heartbeat sync loop modules) allows Sniffing Attacks.
The client places the preset address-book password verbatim into the heartbeat sync JSON body (src/hbbs_http/sync.rs). Over an intact HTTPS session it is not exposed in transit, but it is a reusable shared secret rather than a zero-knowledge proof, so it is recovered by any party that becomes the API endpoint - under the re-homed/rogue API server (CVE-2026-30797) - and the leaked credential then authorizes the server-side address book.
This vulnerability is associated with program files src/hbbs_http/sync.rs and program routines heartbeat sync body builder (emits preset-address-book-password).
This issue affects RustDesk Client: through 1.4.8.
📍 영향받는 시스템
RustDesk Client 1.4.8 이하 버전 (Windows, MacOS, Linux, iOS, Android)
⚔️ 공격 벡터
변조된 API 엔드포인트(Rogue API Server)를 통한 하트비트 동기화 패킷 스니핑 및 자격 증명 탈취
🛡️ 대응 방법
RustDesk 클라이언트를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.8 이하인지 확인하여 취약 여부를 판단합니다.
rustdesk --version 2>/dev/null || echo 'Version check failed'