하드웨어 뉴스 - 최신 IT/하드웨어 정보를 만나보세요

학생들은 버그를 발견한 후 무제한 무료 세탁 서비스를 잠금 해제합니다

신지™

2 5580 6 2024.05.18 10:33

해외 기사를 번역기로 번역 하였습니다 오역이 있을수 있으니 원문을 참고 하세요 <img src="https://img2.quasarzone.com/editor/2024/05/18/ca1dd0d54779cd4b6d54b0314a93b863.png" alt="퀘이사존">UC Santa Cruz 학생 연구원인 Alexander Sherbrooke와 Iakov Taranenko는 CSC ServiceWorks가 운영하는 백만 대 이상의 세탁기를 무료 세탁 사이클을 제공할 위험에 처하게 하는 보안 결함을 발견했다고 TechCrunch가 보고했습니다.
일반적으로 회사의 서비스를 이용하려는 사람들은 휴대폰에 CSC Go 앱을 설치하고 잔액을 로드한 후 근처 기계에서 세탁 사이클을 시작합니다. 필요한 지식이 있는 사람이라면 누구나 이 버그를 악용하여 90년 역사의 회사가 미국, 캐나다, 유럽 전역의 주택, 호텔, 대학 캠퍼스에서 운영하는 인터넷에 연결된 기계에 원격으로 명령을 보내 무료 세탁을 받을 수 있습니다 .
모든 것은 올해 1월 초 Sherbrooke가 이른 시간에 노트북을 들고 지하실 세탁실에 앉아 있을 때부터 시작되었습니다. 계좌에 잔액이 없는 상태에서 그는 앞에 있는 기계에 세탁 사이클을 실행하도록 명령하는 코드 스크립트를 실행하려고 시도했고 성공했습니다. 또한 학생들은 CSC Mobile Go 앱에도 나타나는 세탁 계좌 중 하나에 수백만 달러를 추가할 수 있었습니다.
학생 듀오에 따르면 회사는 버그의 존재에 대해 무지하고 수정을 요청합니다. 그들은 1월 초 온라인 문의 양식을 통해 여러 메시지를 보내고 전화를 걸어 응답하지 않는 등 여러 채널을 통해 CSC ServiceWorks에 연락을 시도했습니다.
회사에는 보안 취약점을 보고할 수 있는 전용 보안 페이지가 없습니다. 학생 연구원에게는 응답하지 않았지만 CSC ServiceWorks는 조사 결과를 보고한 후 막대한 계정 잔액을 삭제했습니다.
그러나 버그는 수정되지 않은 상태로 남아 있으며 금액은 얼마든지 추가할 수 있습니다. 회사가 내부적으로 수정 작업을 진행하고 있는지는 알려지지 않았습니다.
듀오에 따르면, 기기와 앱이 인터넷을 통해 서로 통신할 수 있도록 돕는 모바일 앱에서 사용하는 API에 취약점이 존재합니다. 그들은 앱의 보안 검사를 피하면서 CSC 서버에 직접 명령을 보낼 수 있다는 사실을 알아냈습니다.
학생 연구원들은 API에 대한 직접 액세스와 회사에서 게시한 공개적으로 사용 가능한 서버 명령 목록을 활용하여 사실상 "CSC ServiceWorks 연결 네트워크에 있는 모든 세탁기"를 찾고 상호 작용하는 것이 가능하다고 간행물에 말했습니다.
보안 연구원들은 일반적으로 연구 결과를 공개하기까지 3개월을 기다립니다. 두 학생은 그 이상을 기다렸으며 이달 초 대학 사이버 보안 클럽에서 결과를 발표했다고 말했습니다. 또한 그들은 지침을 제공하고 보안 연구원들이 공급업체에 취약점을 공개하는 데 도움이 되는 카네기 멜론 대학의 CERT 조정 센터와 조사 결과를 공유했습니다.

신지™

행성: 우주망원경

포인트: 102,012 exp

작성물 댓글

모든회원 자기소개 펼치기

댓글: 2개

하드웨어 뉴스 - 최신 IT/하드웨어 정보를 만나보세요

공지 뉴스게시판 특별 규정(23.09.07)

퀘이사존

20.6k

11-08

전체 CPU/MB/RAM 그래픽카드 케이스 쿨링솔루션 저장장치 파워 키보드/마우스 음향기기 디스플레이 네트워크 소프트웨어 노트북 업계동향 기타/주변기기

추천	제목
10	블룸버그 "한국인의 엔비디아 사랑…AI 코인 투자도 광풍" 15 업계동향 빌보 2.6k 06-01
36	AMD Ryzen 9000 시리즈 CPU 슬라이드 유출로 7월 출시 확인 74 CPU/MB/RAM Wormhole 8.2k 06-01
56	[루머] AMD Ryzen 9000 CPU 가격은 전작과 동일 78 CPU/MB/RAM Wormhole 14.4k 06-01
7	구글, 이상한 검색 결과 논란 후 AI 개요 기능이 '환각'을 일으킨다는 주장 부인 11 소프트웨어 블랙웰 1.5k 06-01
13	해커가 '갓모드' GPT-4o 탈옥을 공개했습니다 18 소프트웨어 블랙웰 7.5k 06-01
13	미국 정부가 중국 기업에 미국 도구를 판매한 혐의로 한국 기업을 조사 10 업계동향 블랙웰 2.3k 06-01
56	448비트의 RTX 5090 그래픽 카드가 생산 중: NVIDIA GB202/GB203 다이[루머] 81 그래픽카드 QM지름 12.1k 06-01
11	LG 45GS95QE 모니터, 업계 최초로 VESA DisplayHDR 1.2 인증 획득 21 디스플레이 QM지름 2.8k 06-01
9	Acer, Wi-Fi 7 기술을 탑재한 Wave 7 메시 공유기 출시 10 네트워크 QM지름 1.3k 06-01
12	ASRock, COMPUTEX 2024에서 새로운 쿼드러플 Taichi 마더보드 시리즈 선보일 예정 14 CPU/MB/RAM QM지름 1.1k 06-01
63	AMD, 첫 AM4 CPU 출시 7년 만에 Ryzen 5900XT 및 5800XT 출시 예정 100 CPU/MB/RAM Wormhole 15.3k 06-01
2	'삼성 반도체 어려운데 파업리스크까지'…전영현 리더십 '시험대' 5 업계동향 빌보 953 06-01
5	애즈락, 블로워 쿨러와 12V-2×6 전원 커넥터 탑재 Radeon RX 7900 WS 출시 9 그래픽카드 Wormhole 1.3k 06-01
11	ASRock OC Formula, AQUA 브랜드가 Taichi로 통합 21 CPU/MB/RAM QM포시포시 1.5k 06-01
24	AMD Ryzen 9000 CPU 슬라이드 유출로 사양 확인 & Ryzen 5000 XT도 출시 예정 43 CPU/MB/RAM Wormhole 5.5k 06-01
8	Windows 11 24H2는 보안되지 않은 타사 NAS 장치에 대한 연결을 차단할 수 있습니다 9 소프트웨어 블랙웰 3k 06-01
4	AI 수요 급증에 1분기 기업용 SSD 매출 63% 늘어 6 저장장치 블랙웰 519 06-01
2	"로봇 자율성 부여할수록 위험 수반…통제 기술 중요" 3 기타/주변기기 블랙웰 297 06-01
12	‘삼성전자 기밀 빼내 특허소송’ 前 부사장 구속 20 업계동향 고윤하앍 2.3k 05-31
13	게일, Ryzen 8000G용 DDR5-9000 듀얼 채널 키트 발표 및 DDR5-10200 공개 예정 20 CPU/MB/RAM Wormhole 2.8k 05-31
3	미국, 중동에 대한 엔비디아, AMD AI GPU 라이선스 수출 연기 4 업계동향 블랙웰 869 05-31
15	기가바이트, 새로운 AMD B840 칩셋 확인: CPU 오버클럭과 PCIe Gen5 미지원 34 CPU/MB/RAM Wormhole 3.1k 05-31
3	이 라즈베리 파이 AI 시계는 현재 시간을 듣고 냄새를 맡습니다. 4 기타/주변기기 블랙웰 803 05-31
42	AMD Ryzen 9000 시리즈 CPU 세부 정보 유출, 800 시리즈 보드는 최대 DDR5-8000 지원 60 CPU/MB/RAM Wormhole 9k 05-31
6	구글, 말레이시아에 20억 달러 투자…데이터센터·AI 중심 10 업계동향 QM바나 604 05-31
3	EU, 중국산 전기차에 관세 부과 결정 연기 7 업계동향 QM바나 713 05-31
10	한국 반도체 재고 33.7% 줄어…10년만에 최대 감소폭 13 업계동향 빌보 2.6k 05-31
1	5월 D램 고정거래가격 보합세…전월 급등 후 '숨고르기' 2 CPU/MB/RAM 빌보 486 05-31
30	쿠거, 컴퓨텍스에서 선보일 새로운 케이스, 팬, 게이밍 의자 공개 37 기타/주변기기 Wormhole 3.6k 05-31
4	메타, 지난 분기 가짜 콘텐츠 게시 혐의로 2,000개 이상 계정 삭제, 이스라엘이 주요 출처 6 업계동향 QM락형 759 05-31