블로그

Jun 10, 2023

심각한 취약점으로 인해 주차 관리 시스템이 해커 공격에 노출됩니다.

주차 관리 시스템에서 약 12개의 취약점이 발견되었습니다.

건물 및 산업 자동화용 전자 제어 부품을 만드는 이탈리아 회사인 Carlo Gavazzi가 만든 주차 관리 시스템에서 약 12개의 취약점이 발견되었습니다.

에 의해

플립보드

레딧

핀터레스트

왓츠앱

왓츠앱

이메일

건물 및 산업 자동화용 전자 제어 부품을 만드는 이탈리아 회사인 Carlo Gavazzi가 만든 주차 관리 시스템에서 약 12개의 취약점이 발견되었습니다.

이 결함은 Carlo Gavazzi의 CPY Car Park Server와 UWP 3.0 모니터링 게이트웨이 및 컨트롤러 제품에서 산업 사이버 보안 회사인 Claroty의 연구원에 의해 발견되었습니다. 공급업체는 올해 초 영향을 받는 제품에 대한 패치를 출시했습니다.

유럽 ​​공급업체의 산업 제어 시스템(ICS) 및 운영 기술(OT) 제품에 영향을 미치는 취약점 공개를 조정하는 독일 기반 [email protected]은 Carlo Gavazzi 문제를 설명하는 권고를 게시했습니다. [email protected]의 권고에는 11가지 취약점이 설명되어 있으며, 기관에서는 공격자가 이를 악용하여 "영향을 받는 장치에 대한 전체 액세스 권한을 얻을 수 있다"고 경고합니다.

취약점을 보고한 것으로 알려진 Claroty 보안 연구원인 Vera Mens는 SecurityWeek에 영향을 받은 UWP 제품이 건물 자동화, 에너지 관리 및 주차장 안내 시스템을 원격으로 관리하도록 설계된 웹 기반 애플리케이션이라고 밝혔습니다. 주차 시설 내 주차 공간 이용 가능 여부에 대한 정보가 포함되어 있습니다.

"UWP 모니터링 게이트웨이는 각각 다른 목적을 위한 다양한 모니터링 서버를 실행할 수 있는 다목적 장치입니다."라고 Mens는 설명했습니다. "예를 들어 CPY 주차장 서버는 주차장에서 사용 가능한 주차 공간을 추적하는 다른 장치를 모니터링하고 제어하는 ​​전용 UWP 3.0 장치의 기능입니다. 이 예에서는 각 주차 공간에 주차 공간이 있는지 여부를 감지하는 센서가 있습니다. 자동차가 거기 있습니다. 센서는 데이터를 집계하고 분석(예: 시간 경과에 따른 용량)을 제공하며 전체 작업을 조정하는 CPY 주차장 서버에 보고합니다."

이러한 제품은 하드코딩된 자격 증명, SQL 주입, 인증 누락, 부적절한 입력 유효성 검사, 경로 탐색과 관련된 심각한 취약점뿐만 아니라 심각도가 높은 여러 문제의 영향을 받는 것으로 밝혀졌습니다. 이러한 보안 허점은 인증을 우회하고, 정보를 획득하고, 명령을 실행하는 데 악용될 수 있으므로 공격자가 대상 시스템을 완전히 제어할 수 있습니다.

다행스럽게도 Mens는 Claroty가 인터넷에 노출된 UWP 장치를 인식하지 못했다고 말했습니다. 이는 공격자가 취약점을 악용하려면 대상 네트워크에 액세스해야 함을 의미합니다.

그러나 대상 네트워크에 액세스할 수 있는 공격자는 취약점을 활용하여 다양한 활동을 수행할 수 있습니다.

Mens는 “이 취약점은 악용될 수 있으며 모니터링 장치를 악용하고 모니터링 데이터를 위조하고 원격 컨트롤러 및 센서와 같은 중첩 장치를 제어하여 물리적 프로세스를 방해하는 등 다양한 공격 시나리오로 이어질 수 있습니다.”라고 Mens는 설명했습니다.

연구원은 공급업체가 모든 취약점을 신속하게 수정했다고 말했습니다. [email protected]에 따르면 UWP3.0 버전 8.5.0.3 이상과 CPY Car Park Server 버전 2.8.3 이상이 결함을 해결합니다. 사이버 보안 기관은 이러한 유형의 공격을 예방하기 위한 몇 가지 일반적인 권장 사항도 공유했습니다.

관련: 새로운 취약점으로 인해 Rockwell PLC에 대한 Stuxnet 스타일 공격 허용

관련 항목: 주요 산업 기업에서 사용하는 AUVESY 제품에서 심각한 취약점 발견

관련 항목: FileWave MDM 취약점으로 인한 원격 공격에 노출된 1,000개 조직

Eduard Kovacs(@EduardKovacs)는 SecurityWeek의 기고 편집자입니다. 그는 Softpedia의 보안 뉴스 리포터로 저널리즘 경력을 시작하기 전에 2년 동안 고등학교 IT 교사로 일했습니다. Eduard는 산업 정보학 학사 학위와 전기 공학에 적용되는 컴퓨터 기술 석사 학위를 보유하고 있습니다.