CVE-2025-29628, CVE-2025-29629, CVE-2025-29630, CVE-2025-29631
2025년 2월, 저는 Gardyn Home 4.0 장치에 대한 보안 연구를 수행했습니다. 연구 과정에서 여러 취약점과 취약한 보안 관행을 발견했습니다. 이러한 취약점을 악용하면 공격자가 Gardyn 장치에 대한 시스템 수준 접근 권한을 획득하고, 이를 사용하여 장치가 연결된 로컬 영역 네트워크에 대한 추가 공격을 준비할 수 있습니다. 또한 공격자는 이 접근 권한을 사용하여 장치의 정상적인 작동에 영향을 미칠 수 있으며, 여기에는 장치에서 재배 중인 식물과 장치 자체의 손상도 포함됩니다.
이 저장소에는 Gardyn 수경 재배 정원의 취약점 모음에 대한 기술적 세부 정보 및 상태가 포함되어 있습니다. 이 정보는 Gardyn 제품의 보안에서 해결되지 않은 문제를 소비자에게 알리기 위한 목적으로 공개됩니다.
2025-02-21 - 공급업체에 초기 연락 시도. 2025-02-26 - 공급업체 영업팀과 연락. 2025-04-07 - 공급업체 기술 담당자와 연락. 모든 취약점의 기술적 세부 정보 공개. 2025-06-14 - 기존 취약점에 대해 공급업체에 후속 연락 시도.
2025-07-04 기준
| CVE | 문제 | 상태 |
|---|---|---|
| CVE-2025-29629 | 취약한 기본 자격 증명 | 자격 증명은 여전히 동일하지만 SSH에 대한 비밀번호 인증이 비활성화됨 |
| CVE-2025-29630 | SSH 키 백도어 | SSH 인증 키가 여전히 존재하지만 Gardyn 직원의 개인 식별 정보는 제거됨. |
| CVE-2025-29628 | 전체 장치 장악 | 패치되지 않음 |
| CVE-2025-29631 | 명령 삽입 | 패치되지 않음 |
