🇰🇷 한글 설명
mH-DEVELOPER 스마트 홈 모듈의 인증 미들웨어가 토큰을 검증하지 않아 모든 HTTP API 및 WebSocket 엔드포인트가 인증 없이 노출됩니다. 로컬 네트워크(LAN)에 있는 공격자는 인증 없이 시스템 정보에 접근하거나 제어 명령을 전송하여 빌딩 자동화 장치를 조작할 수 있습니다.
💡 쉬운 설명
스마트 홈 기기의 보안 문이 잠겨 있지 않아, 같은 와이파이를 쓰는 누구나 기기를 마음대로 조작할 수 있는 상태입니다. 공격자가 집안의 전등이나 가전제품을 몰래 켜고 끌 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
mH-DEVELOPER smart home module does not verify tokens in its authorization middleware, leaving all HTTP API and WebSocket endpoints accessible without authentication. An unauthenticated attacker on the LAN can query these endpoints, access system information, and send raw control commands to manipulate building automation devices.
This issue was fixed in version 3.0.30
📍 영향받는 시스템
mH-DEVELOPER smart home module (3.0.30 미만 버전)
⚔️ 공격 벡터
동일한 로컬 네트워크(LAN) 내에서 인증 없이 HTTP API 및 WebSocket 엔드포인트에 직접 접근
🛡️ 대응 방법
mH-DEVELOPER smart home module을 버전 3.0.30 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 3.0.30 이상의 버전 번호가 출력되면 안전하게 패치된 상태입니다.
curl -s http://<DEVICE_IP>/api/version | grep -E '3.0.30'
💻 영향받는 소프트웨어
IBM Security Verify Access