취약점 설명

영향을 받는 Quantum Networks 라우터(QN-I-470, 펌웨어 6.1.1.B1)의 관리 웹 인터페이스는 인증 자격 증명을 네트워크를 통해 평문으로 전송합니다.

관리자가 HTTP를 통해 웹 기반 관리 인터페이스에 인증할 때, 입력된 사용자 이름과 비밀번호는 전송 계층 암호화 없이 전송됩니다. 그 결과, 동일한 브로드캐스트 도메인에 접근할 수 있는 인접 네트워크 공격자는 네트워크 트래픽을 수동적으로 가로채 유효한 관리 자격 증명을 복구할 수 있습니다.

자격 증명이 성공적으로 노출되면 영향을 받는 기기에 대한 완전한 손상이 가능해집니다.

영향

동일한 로컬 네트워크에서 네트워크 트래픽을 가로챌 수 있는 공격자는 다음을 수행할 수 있습니다:

• 유효한 관리 자격 증명 획득
• 영향을 받는 라우터에 대한 완전한 관리 제어 권한 획득
• 라우팅, DNS, 방화벽 설정을 포함한 중요 네트워크 구성 수정
• 트래픽 가로채기, 리디렉션 또는 조작 수행
• 네트워크 인프라에 대한 지속적 또는 은밀한 접근 권한 확립

영향을 받는 기기가 네트워크 게이트웨이 역할을 한다는 점을 고려할 때, 성공적인 악용은 연결된 시스템에 대한 네트워크 전체 차원의 공격을 가능하게 하여 전반적인 영향을 크게 증가시킬 수 있습니다.

보안 분류

참고 자료

1. OWASP Top 10 — A02:2021 암호화 실패(Cryptographic Failures)
2. CWE-319: 민감 정보의 평문 전송(Cleartext Transmission of Sensitive Information)