UgCS 서버 빈 자격 증명 로그인 우회
드론 조종 서버에 비밀번호 없이 누구나 들어와 드론을 명령할 수 있습니다!
요약
드론 지상 통제 소프트웨어 UgCS 서버의 로그인 처리에 결함이 있어, 자격 증명 없이 인증되지 않은 원격 사용자가 접속할 수 있습니다. 6.2 미만 버전이 해당하며, 접속하면 드론 명령과 비행 경로 업로드 같은 특권 명령을 내릴 수 있습니다.
해당 조건
- 데이터베이스에 사용자 계정이 하나만 있는 설치(기본 단일 운영자 설치)
- TCP 3334 포트가 네트워크에서 접근 가능(기본적으로 모든 인터페이스에서 수신)
대처법
UgCS 6.2 이상으로 업데이트하세요. 당장 못 하면 HCI 수신을 127.0.0.1로 제한하고, 3334 포트를 방화벽으로 필요한 호스트만 허용하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 분석 글: offseq.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인