Kalay 클라우드 플랫폼의 취약점, IoT 기기 수백만 대 해킹 위험에 노출시켜

 

 

Kalay cloud platform flaw exposes millions of IoT devices to hack

 

FireEye Mandiant의 연구원들이 Kalay 클라우드 플랫폼 내 핵심 컴포넌트에서 IoT 기기 수백만 대에 영향을 미치는 치명적인 취약점인 CVE-2021-28372를 발견했습니다.

 

원격 공격자는 이 취약점을 쉽게 악용해 IoT 기기의 제어권을 탈취할 수 있으며, 공격에 필요한 유일한 정보는 타깃 사용자의 UID입니다. 공격자는 이 UID를 소셜 엔지니어링 기법을 통해 얻어낼 수 있습니다.

 

Mandiant에서는 아래와 같이 설명했습니다.

 

“이 글에 설명된 취약점은 Kalay 플랫폼의 핵심 컴포넌트에 영향을 미칩니다. Mandiant는 영향을 받는 기기 전체 목록을 만들 수는 없었습니다. 하지만 ThroughTek의 웹사이트에서는 Kalay 플랫폼 내 활성화된 기기가 8,300만 대 이상이라고 보도했습니다. 공격자는 Kalay 프로토콜에 대한 전체적인 지식을 가지고 있으며, 메시지를 생성하고 전송할 수 있어야 합니다. 또한 공격자는 소셜 엔지니어링 기법 또는 Kalay UID를 리턴하는 API나 서비스의 다른 취약점을 악용하여 Kalay UID를 얻어내야 합니다. 이후 공격자는 획득한 UID에 해당하는 취약한 기기를 원격으로 해킹할 수 있게 됩니다.”

 

타깃 기기의 UID를 얻어낸 공격자는 Kalay 네트워크에 특수 제작된 요청을 보내 네트워크에서 동일한 UID를 통해 다른 기기를 등록할 수 있게 됩니다. 이렇게 되면 Kalay 서버는 기존 기기를 덮어쓰기 할 것입니다.

 

피해자가 해당 기기에 접속하는 순간, 그의 연결은 공격자에게로 이어집니다. 공격자는 해당 기기에 접근하기 위해 사용된 크리덴셜을 얻어낼 수 있게 됩니다.

 

플랫폼을 사용하는 대부분의 기기는 IP 카메라와 같은 영상 모니터링 제품이며 공격자는 이 취약점을 통해 음성 및 영상 데이터를 도청할 수 있게 됩니다.

 

공격자는 RPC(원격 프로시져 호출) 기능을 통해 해당 기기의 제어권을 완전히 탈취할 수도 있습니다.

 

“Kalay 프로토콜은 RPC(원격 프로시저 호출) 기능 또한 구현합니다. 이는 기기마다 다르지만 일반적으로 원격 측정, 펌웨어 업데이트, 기기 제어에 사용됩니다. 공격자는 해킹된 크리덴셜을 통해 Kalay 네트워크를 사용하여 기기에 원격으로 접속해 음성 데이터에 접근하고 RPC 호출을 실행할 수 있습니다.”

 

 

<이미지 출처 : https://www.fireeye.com/blog/threat-research/2021/08/mandiant-discloses-critical-vulnerability-affecting-iot-devices.html>

 

 

해당 클라우드 IoT 플랫폼을 개발한 ThroughTek은 이 취약점을 해결하기 위한 SDK 업데이트를 공개했습니다.

 

회사는 고객에게 AuthKey 및 DTLS를 활성화할 것을 권고했습니다. 

 

“ThroughTek SDK v3.1.10 이상을 사용할 경우 AuthKey 및 DTLS를 활성화하시기 바랍니다. ThroughTek SDK v3.1.10 이전 버전을 사용할 경우, 라이브러리를 v3.3.1.0 또는 v3.4.2.0으로 업그레이드한 후 AuthKey 와 DTLS를 활성화하시기 바랍니다. CVE-2021-28372 취약점은 최종 사용자의 보안 및 개인정보 보호에 큰 위험이 되므로 적절히 완화해야 합니다. IoT 카메라 등 보호되지 않은 기기는 원격으로 해킹될 수 있으며 기기의 노출된 기능에 따라 추가적인 공격이 가능합니다.”

 

 

 

 

출처:

https://securityaffairs.co/wordpress/121226/hacking/kalay-cloud-platform-critical-flaw.html

https://www.fireeye.com/blog/threat-research/2021/08/mandiant-discloses-critical-vulnerability-affecting-iot-devices.html