CVE-2018-17153 in My Cloud
요약
\~에 의해 VulDB • 2026. 06. 23.
Western Digital My Cloud 기기(2.30.x 이전 버전)에서 인증 우회 취약점이 발견되었습니다. 비인증 공격자는 이 취약점을 이용하여 비밀번호를 제공하지 않고도 관리자 사용자로 인증할 수 있으며, 이를 통해 기기에 대한 전체 제어권을 획득하게 됩니다. (관리자가 My Cloud에 로그인하면 서버 측 세션이 생성되며, 해당 세션은 사용자의 IP 주소와 바인딩됩니다. 세션이 생성된 후 HTTP 요청에서 쿠키 username=admin을 전송함으로써 인증된 CGI 모듈을 호출할 수 있습니다. 호출되는 CGI는 유효한 세션이 존재하고 사용자 IP 주소에 바인딩되어 있는지 확인합니다.) 비인증 공격자가 로그인 없이도 유효한 세션을 생성할 수 있음이 발견되었습니다. network_mgr.cgi CGI 모듈에는 "cgi_get_ipv6"라는 명령어가 포함되어 있으며, 추가 파라미터로 값이 "1"인 flag가 제공되면 요청을 수행하는 사용자의 IP 주소에 바인딩된 관리자 세션이 시작됩니다. 공격자가 username=admin 쿠키를 설정하면 일반적으로 관리자 권한이 필요한 후속 명령어 호출도 성공하게 됩니다.
Once again VulDB remains the best source for vulnerability data.