보안 연구자는 온라인 게임 Neverness to Everness(NTE)에서 인증 정보가 평문으로 전송되고 재사용을 막는 보호 장치도 없어 계정을 탈취할 수 있는 취약점 두 건을 발견했다고 밝혔다. 공개 시점에도 두 취약점은 패치되지 않았으며 CVE 번호 배정은 진행 중이었다.
연구자는 네트워크 트래픽을 분석해 인증 정보에 사용자 비밀값(User Secret)과 사용자 ID가 포함된 것을 확인했다. 이 정보는 로그인할 때마다 전송되며, 사용자가 완전히 로그아웃한 뒤 다시 로그인하지 않는 한 사용자 비밀값이 바뀌지 않는다고 설명했다. 같은 근거리 통신망(LAN)에 있는 공격자는 ARP 스푸핑을 이용해 피해자의 로그인 정보를 가로챌 수 있다.
가로챈 인증 데이터에는 재전송 방지 기능이 없어, 연구자의 설명에 따르면 이를 여러 날 뒤에도, 다른 IP 주소에서도 서버에 다시 보낼 수 있었다. 연구자는 자신의 로그인 데이터를 중간에서 가로챈 뒤 피해자의 사용자 ID와 비밀값으로 바꿔 서버에 전달하는 방식으로 계정 탈취를 시연했다고 밝혔다. 게임의 치트 방지 기능 때문에 메모리나 파일을 살펴보는 대신 인증 과정의 데이터를 수정하는 방법을 택했다.
연구자는 2026년 5월 8일 Perfect World/Hotta Studio에 취약점을 제보했고, 5월 18일 수정 작업 중이라는 답변을 받았다고 공개했다. 10월 27일 게시 시점까지 최초 제보로부터 170일이 넘었지만 취약점은 여전히 존재한다고 밝혔다. 제보자는 MITRE에 두 건의 CVE를 직접 신청했으며, 배정은 대기 중이다. 하나는 민감 정보 평문 전송(CWE-319), 다른 하나는 세션 만료 불충분(CWE-613)으로 분류됐다.
개념 증명 코드와 전체 분석은 GitHub 저장소에서 확인할 수 있다. 게임은 Neverness to Everness 공식 사이트에서 소개하며, 분석에 사용된 데이터 형식인 Google FlatBuffers에 관한 정보는 공식 문서에 있다. 보고된 취약점은 공개 시점 기준으로 패치되지 않았으므로, 계정 피해 여부나 수정 상태를 확인할 때는 게임 운영사의 후속 공지를 참고해야 한다.
관련 자료: Arknights: Endfield, Honkai: Star Rail, Wuthering Waves, NTE 설정 파일 관련 게시물, Google Project Zero의 공개 정책.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요