포스팅 내용

국내외 보안동향

TP-Link 라우터에서 비밀번호 없이 로그인이 가능한 취약점 발견!

TP-Link Router Bug Lets Attackers Login Without Passwords


TP-Link에서 공격자가 관리자 비밀번호를 우회하여 원격에서 Telnet 연결을 통해 디바이스를 제어할 수 있는 심각한 취약점(CVE-2019-7405)를 패치하였습니다. 


공격자가 HTTP Request 중 문자열 길이가 허용된 문자열 길이보다 길 경우,결과적으로 사용자 비밀번호가 무효화 되며 null값으로 대체되게 됩니다. 

이 경우 해당 페이지로는 어떠한 비밀번호도 사용할 수 없기 때문에, 공격자는 접근이 가능하지만 합법적인 계정을 가진 사용자 역시 Web 서비스에 접근을 할 수가 없게 됩니다. 또한 이러한 상황에서 피해를 받은 사용자는 콘솔과 shell에도 접근을 할 수가 없기 때문에 새로운 비밀번호로 변경할 수도 없게 됩니다. 


현재 TP-Link는 이미 해당 취약점에 대한 패치를 공개하였습니다. 


패치버전


Archr C5 V4

Archer MR200v4

Archer MR6400v4

Archer MR400v3



출처 : 

https://www.bleepingcomputer.com/news/security/tp-link-router-bug-lets-attackers-login-without-passwords/

티스토리 방명록 작성
name password homepage