🇰🇷 한글 설명
Meari IoT Cloud Platform OpenAPI 서비스에서 인증된 사용자가 특정 장치 ID를 지정하여 다른 장치의 전체 디바이스 섀도우에 접근할 수 있는 권한 결함이 발견되었습니다. 이 취약점을 통해 요청자와 대상 장치 간의 관계를 검증하지 않고 장치 자격 증명, 소유자 정보, 네트워크 데이터 및 원격 측정 데이터를 포함한 민감한 정보가 노출될 수 있습니다.
💡 쉬운 설명
로그인한 사용자라면 다른 사람의 스마트 기기 정보를 마음대로 들여다볼 수 있는 보안 허점이 발견되었습니다. 이를 통해 기기 비밀번호나 사용자의 개인정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
The Meari IoT Cloud Platform OpenAPI Service is vulnerable to an authorization flaw that allows authenticated users to access the complete device shadow of any device by specifying its device ID. This vulnerability exposes sensitive information, such as device credentials, owner details, network data, and telemetry, without verifying any relationship between the requester and the target device.
📍 영향받는 시스템
Meari IoT Cloud Platform OpenAPI Service
⚔️ 공격 벡터
인증된 사용자가 타겟 장치의 ID를 입력하여 권한 검증 없이 API를 호출하는 방식
🛡️ 대응 방법
API 요청 시 요청자와 대상 장치 간의 소유권 및 권한 관계를 검증하는 로직을 구현하고 업데이트해야 합니다.
🔧 검증 코드
명령어 실행 결과로 타겟 장치의 민감한 정보(credentials, owner_details 등)가 출력되면 취약한 상태입니다.
curl -s -X GET 'https://api.mearicloud.com/v1/device/shadow/{target_device_id}' -H 'Authorization: Bearer {attacker_token}' | grep -E 'credentials|owner_details'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access