Attendo Admin Android 앱 내장 MQTT 브로커 계정 노출
앱 안에 숨겨진 계정 정보로 직원 출근 기록을 엿볼 수 있습니다.
요약
Attendo(이전 Petpooja Payroll) 관리자 안드로이드 앱 3.0.13 이하에는 고정된 계정 정보가 들어 있어, 앱을 분해하면 운영 MQTT 브로커 계정을 얻을 수 있습니다. 공격자는 출근 기록, 개인 식별 정보, 사진, 기기 정보가 담긴 메시지 주제를 열람하거나 메시지를 주입할 수 있습니다.
해당 조건
- Attendo Admin Android 앱 3.0.13 이하
대처법
3.0.13보다 새로운 버전의 앱을 쓰고 있는지 확인하고, 벤더의 공식 안내를 읽으세요. 고쳐진 버전 번호는 출처에 없습니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: medium.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인