CVE-2025-46018 – CSC Pay 모바일 앱 결제 인증 우회

요약

CSC Pay 모바일 앱에서 결제 인증 우회 취약점이 발견되었으며, 2.19.4 버전에 영향을 미칩니다. 이 결함으로 인해 공격자는 결제를 시작하고, 프로세스의 특정 시점에서 Bluetooth를 비활성화한 뒤 요금이 청구되지 않은 채 세탁기를 작동시킬 수 있었습니다.

이 문제는 책임 있는 공개 절차를 거쳐 공개되었으며, 현재 CVE-2025-46018로 추적되고 있습니다.

---

영향을 받는 제품

• 제품: CSC Pay 모바일 앱
• 버전: 2.19.4 (2.20.0 버전에서 수정됨)
• 구성 요소: Bluetooth 결제 인증 모듈
• 공급업체: CSC ServiceWorks

---

취약점 유형

• CWE-284: 부적절한 접근 제어
• CVSS (추정): 중간 심각도
• 익스플로잇 유형: 로컬 – 기기에 근접해야 함

---

공격 벡터 (개요)

1. 공격자는 모바일 앱을 통해 결제를 시작하고 세탁기의 QR 코드를 스캔합니다.
2. 앱이 Bluetooth 인증을 완료하고 사용자에게 요금을 청구하기 전에 Bluetooth를 의도적으로 비활성화합니다.
3. 거래가 완료되지 않았음에도 불구하고 기기는 세탁 주기를 시작합니다.

영향: 결제 없는 기기의 무단 사용, 잠재적 수익 손실, 공공/공유 환경에서의 악용.

---

타임라인

---

감사의 말

발견자: Niranjan Gaire

• CSC ServiceWorks 보안 명예의 전당
• MITRE CVE 기록 – CVE-2025-46018

---

면책 조항

이 저장소는 문서화 및 책임 있는 공개 목적으로만 제공됩니다.
익스플로잇 코드나 재현 절차는 공개적으로 공유되지 않습니다.