큰 시스템일수록 내부 구성원끼리는 서로를 믿습니다. SAP NetWeaver의 애플리케이션 서버들은 "메시지 서버(Message Server)"라는 중앙 교환대에 자신을 등록하며 하나의 클러스터로 묶입니다. 그런데 이 교환대가 "등록하려는 쪽이 정말 우리 편인가"를 충분히 확인하지 않았습니다. 그 결과 로그인하지 않은 외부 공격자가 자기를 정당한 내부 컴포넌트인 척 등록해, 클러스터의 신뢰를 통째로 빌려 쓸 수 있었습니다. 연구자들은 이 결함에 **S4GET**이라는 이름을 붙였습니다.
클러스터를 이루는 메시징 브로커들은 서로를 처음 찾아낼 때부터 신뢰 관계를 맺습니다. 문제는 "찾아내는 것"과 "인증하는 것"이 같은 순간에 일어나지 않을 때 생깁니다. Apache ActiveMQ Artemis는 브로커가 클러스터 피어를 discovery(자동 탐색)로 찾아 처음 연결을 맺는 바로 그 핸드셰이크 구간에서, 상대가 누구인지 확인하기 전에 관리자 자격증명이 오갈 수 있는 틈을 남겼습니다. 그 결과 네트워크에 발만 걸칠 수 있으면 로그인 없이도 클러스터 관리 자격증명을 가로챌 수 있었습니다.
관리자 화면을 지키는 첫 관문은 "이 사람이 로그인했는가"를 묻는 것입니다. Ebyte NA111-M의 웹 관리 인터페이스는 그 물음을 일관되게 던지지 않았습니다. 일부 관리 기능이 인증 확인을 거치지 않고 노출되어, 로그인조차 하지 않은 원격 공격자가 설정을 읽고 바꾸고 장치를 마비시킬 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.
로그인 검사를 브라우저에게 맡기면, 브라우저를 쓰지 않는 공격자는 검사를 통째로 건너뜁니다. Ebyte의 산업용 시리얼-이더넷 게이트웨이 두 종은 관리자 인증 판정을 서버가 아닌 클라이언트 쪽에 두었습니다. 그래서 미인증 원격 공격자가 그 판정 로직을 그대로 재현해 유효한 인증 요청을 만들고, 관리자 접근을 손에 넣을 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.