관리자 화면을 지키는 첫 관문은 "이 사람이 로그인했는가"를 묻는 것입니다. Ebyte NA111-M의 웹 관리 인터페이스는 그 물음을 일관되게 던지지 않았습니다. 일부 관리 기능이 인증 확인을 거치지 않고 노출되어, 로그인조차 하지 않은 원격 공격자가 설정을 읽고 바꾸고 장치를 마비시킬 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.
로그인 검사를 브라우저에게 맡기면, 브라우저를 쓰지 않는 공격자는 검사를 통째로 건너뜁니다. Ebyte의 산업용 시리얼-이더넷 게이트웨이 두 종은 관리자 인증 판정을 서버가 아닌 클라이언트 쪽에 두었습니다. 그래서 미인증 원격 공격자가 그 판정 로직을 그대로 재현해 유효한 인증 요청을 만들고, 관리자 접근을 손에 넣을 수 있습니다. 인증도 사용자 개입도 필요 없어 CISA는 이 결함에 CVSS 9.8을 매겼습니다.
자격증명을 지키는 가장 기본적인 약속은 "선을 타고 흐르는 동안 아무도 못 읽는다"입니다. Ebyte NA111-M의 MQTT 통신은 그 약속을 하지 않았습니다. 브로커에 붙는 자격증명과 제어 트래픽이 암호화 없이 평문으로 오가서, 트래픽을 엿볼 수 있는 위치의 공격자가 로그인 정보를 그대로 주워 담고 장치를 사칭할 수 있습니다. 코드 한 줄의 버그가 아니라 전송 암호화를 넣지 않은 설계 자체가 원인입니다.