🇰🇷 한글 설명
DroneAware는 드론 탐지 플랫폼입니다. droneaware.io의 중앙 서버는 공격자가 피해자의 이메일 주소로 계정을 미리 등록하고 자신이 설정한 비밀번호를 지정할 수 있는 계정 선점(pre-hijacking) 취약점이 있었습니다. 피해자가 계정을 활성화하면 공격자가 설정한 비밀번호가 유효해져 알림 없이 계정이 탈취될 수 있었습니다. 해당 취약점은 2025-05-20 서버 측에서 수정되었으며 사용자 조치는 필요하지 않습니다.
💡 쉬운 설명
해커가 피해자의 이메일로 미리 계정을 만들고 자신이 정한 비밀번호를 설정할 수 있었습니다. 피해자가 나중에 계정을 인증하면 해커의 비밀번호로도 로그인이 가능해져 몰래 계정을 빼앗길 수 있었습니다.
🇺🇸 원문 (English)
DroneAware is a drone detection platform. The centralized DroneAware server backing droneaware.io was vulnerable to an account pre-hijacking attack in which an attacker could register an account using a victim's email address with an attacker-controlled password before the victim completed account activation. When the legitimate owner later activated the account, either by clicking the email verification link or by logging in via Google SSO, the attacker-set password became fully valid, enabling silent and persistent account takeover without any notification to the victim. The vulnerability was fixed server-side on 2025-05-20; no user action is required. Node binaries and self-hosted detection nodes are not affected. There are no workarounds; the fix was deployed server-side and no client-side mitigation is applicable.
📍 영향받는 시스템
droneaware.io 중앙 서버 (2025-05-20 서버 측 패치 완료, Node 바이너리 및 자체 호스팅 탐지 노드는 영향 없음)
⚔️ 공격 벡터
피해자 이메일로 공격자가 먼저 계정을 등록하고 원하는 비밀번호를 설정한 뒤, 피해자의 계정 활성화 시점에 해당 비밀번호가 유효해져 무단 로그인이 가능해짐
🛡️ 대응 방법
서버 측에서 이미 수정 완료되었으므로 사용자 조치 불필요; 계정 보안을 위해 필요 시 비밀번호를 재설정하고 Google SSO 연동 상태를 확인
🔧 검증 코드
HTTP 응답 헤더가 정상적으로 반환되면 서비스가 가동 중인 것이며, 이 명령은 클라이언트 측에서 취약점 패치 여부를 직접 검증하지는 못하므로 패치 확인은 공급사 공지나 계정 설정 점검으로 대체해야 함
curl -sI https://droneaware.io | grep -i 'server\|date'