보안 연구자, 한화비전 카메라 펌웨어서 GitHub 관리자 토큰 발견…사측 폐기 조치

보안 연구자 원문 분석에 따르면 한화비전 네트워크 카메라 펌웨어 일부에 회사 GitHub 조직의 다수 저장소를 관리할 수 있는 토큰이 포함됐다. 한화비전은 연구자의 신고를 받은 뒤 해당 토큰을 폐기했다고 회신했다.

연구자는 한화비전 카메라 펌웨어를 내려받아 파일 시스템을 분석하는 과정에서 웹 관리 화면용 자바스크립트 파일 여러 곳에 같은 GitHub 토큰이 들어 있는 것을 확인했다고 밝혔다. 해당 토큰으로 한화비전 GitHub 조직의 수백 개 저장소에 관리자 권한으로 접근할 수 있었다는 설명이다.

원인은 웹 사용자 인터페이스를 빌드하는 과정에서 지속적 통합 환경의 전체 환경변수가 산출물에 포함된 데 있는 것으로 분석됐다. 공개된 코드 조각에는 패키지 관리 설정과 빌드 환경 정보가 함께 들어 있었지만, 연구자는 실제 토큰 값은 원문에서도 가린 상태로 공개했다.

이번 문제는 소스 코드에 비밀값을 직접 적지 않더라도 빌드 설정 하나로 자격증명이 완제품 펌웨어에 섞일 수 있음을 보여준다. 특히 네트워크 카메라처럼 관리 화면을 제공하는 장치는 펌웨어 파일이 공개 배포되거나 고객 환경에 설치되기 때문에, 빌드 산출물에 포함된 비밀값이 외부에 노출될 가능성이 크다.

연구자는 한화비전 웹사이트에서 약 500개 카메라 펌웨어를 수집했으며, 이 가운데 62%가 같은 방식으로 분석 가능했다고 밝혔다. GitHub 토큰은 3개 펌웨어에서 발견됐고 모두 같은 값이었다. 다만 공개 자료만으로 정확한 영향 제품과 펌웨어 버전, 실제 장치의 관리 화면을 통해 해당 값이 전송됐는지는 확인되지 않았다.

취약 사실을 이메일로 알린 뒤 한화비전은 12시간 안에 토큰을 폐기했다고 연구자에게 회신했다. 현재까지 해당 토큰이 악용됐거나 GitHub 저장소가 침해됐다는 공개 증거는 제시되지 않았다. 한화비전의 별도 보안 공지나 영향 제품 목록도 확인되지 않았다.

이번 사례는 펌웨어 공급망에서 비밀정보 검사가 소스 저장소뿐 아니라 최종 산출물까지 이어져야 한다는 점을 드러낸다. 제조사는 빌드 환경변수의 노출 범위를 최소화하고, 프런트엔드 번들에 포함되는 값을 허용 목록 방식으로 제한할 필요가 있다. 배포 전 펌웨어와 웹 자산을 대상으로 토큰·인증서·내부 주소 등 민감정보 검사를 자동화하는 절차도 요구된다.

출처: 보안 연구자 원문 https://hhh.hn/hanwha-github-token/