CVE-2025-29628, CVE-2025-29629, CVE-2025-29630, CVE-2025-29631
2025년 2월에 저는 Gardyn Home 4.0 기기에 대한 보안 연구를 수행했습니다. 연구 과정에서 여러 취약점과 취약한 보안 관행을 발견했습니다. 이러한 취약점을 악용하면 공격자는 Gardyn 기기에 대한 시스템 수준의 접근 권한을 획득하고, 이를 사용하여 기기가 연결된 로컬 영역 네트워크에 대한 추가 공격을 준비할 수 있습니다. 또한 공격자는 이러한 접근 권한을 사용하여 기기의 정상적인 작동에 영향을 미칠 수 있으며, 여기에는 기기에서 재배 중인 식물과 기기 자체를 손상시키는 것도 포함됩니다.
이 저장소에는 Gardyn 수경재배 정원의 일련의 취약점에 대한 기술적 세부 정보와 상태가 포함되어 있습니다. 이 정보는 Gardyn 제품의 보안에서 해결되지 않은 문제에 대해 소비자에게 알리기 위한 목적으로 공개됩니다.
2025-02-21 - 공급업체에 최초 연락 시도. 2025-02-26 - 공급업체 영업 팀과 연락. 2025-04-07 - 공급업체 기술 담당자와 연락. 모든 취약점의 기술적 세부 정보 공개. 2025-06-14 - 기존 취약점에 대해 공급업체에 후속 연락 시도.
2025-07-04 기준
| CVE | 문제 | 상태 |
|---|---|---|
| CVE-2025-29629 | 취약한 기본 자격 증명 | 자격 증명은 여전히 동일하지만 SSH 비밀번호 인증은 비활성화되었습니다. |
| CVE-2025-29630 | SSH 키 백도어 | SSH 인증 키가 여전히 존재하지만 Gardyn 직원의 개인 식별 정보는 제거되었습니다. |
| CVE-2025-29628 | 전체 기기 장악 | 패치되지 않음 |
| CVE-2025-29631 | 명령 주입 | 패치되지 않음 |
