← 전체 글

태그: 인증우회

CVE · CVE-2026-73125

CVE-2026-73125 (Ebyte NA111-M 웹 관리 인터페이스 인증 미비) 분석

관리자 화면을 지키는 첫 관문은 "이 사람이 로그인했는가"를 묻는 것입니다. Ebyte NA111-M의 웹 관리 인터페이스는 그 물음을 일관되게 던지지 않았습니다. 일부 관리 기능이 인증 확인을 거치지 않고 노출되어, 로그인조차 하지 않은 원격 공격자가 설정을 읽고 바꾸고 장치를 마비시킬 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.

CVE · CVE-2026-71187

CVE-2026-71187 (Ebyte NE2-D11/NA111-M 클라이언트측 인증 우회) 분석

로그인 검사를 브라우저에게 맡기면, 브라우저를 쓰지 않는 공격자는 검사를 통째로 건너뜁니다. Ebyte의 산업용 시리얼-이더넷 게이트웨이 두 종은 관리자 인증 판정을 서버가 아닌 클라이언트 쪽에 두었습니다. 그래서 미인증 원격 공격자가 그 판정 로직을 그대로 재현해 유효한 인증 요청을 만들고, 관리자 접근을 손에 넣을 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.