DavaIndia의 공개 관리자 API가 낯선 이들에게 약국 체인의 슈퍼 관리자 권한을 넘겨줬다

구자라트에 본사를 둔 Zota Healthcare의 소매 부문인 DavaIndia Pharmacy는 인도 전역에 2,300개 이상의 매장을 두고, 1월에 276개 신규 매장을 발표했으며, 2년 내에 추가로 1,200~1,500개를 열 계획을 세우며 빠르게 확장하고 있었다. 보안 연구원 Eaton Zveare에 따르면, 이 회사의 웹사이트는 안전하지 않은 '슈퍼 관리자' 애플리케이션 프로그래밍 인터페이스(API)를 운영하고 있었다.

이 결함으로 인해 인증되지 않은 사용자가 높은 권한을 가진 슈퍼 관리자 계정을 만들 수 있었다. 이를 통해 공격자는 고객 정보가 담긴 수천 건의 온라인 주문을 조회하고, 상품 목록과 가격을 수정하고, 할인 쿠폰을 생성하고, 어떤 의약품에 처방전이 필요한지를 변경하고, 사이트 콘텐츠를 편집할 수 있었다. 이는 사이트 훼손이나 서비스 중단을 일으키기에 충분했다.

Zveare는 2025년 8월 인도의 사이버 비상 대응 기관인 CERT-In에 이 문제를 신고했다. 취약점은 몇 주 안에 수정됐지만, 회사의 확인은 11월 말에야 당국에 전달됐다. TechCrunch가 Zota의 CEO Sujit Paul에게 보낸 이메일에는 답변이 없었으며, 패치 전에 이 결함이 악용됐다는 징후는 없었다.

이름, 전화번호, 이메일, 주소, 결제 금액, 구매 상품이 포함된 약 17,000건의 온라인 주문이 노출됐고, 883개 매장에 걸친 관리자 제어 권한이 약 1년 동안 노출됐다.

빠른 매장 확장이 보안 검토보다 앞섰다. 취약한 인터페이스는 플랫폼과 함께 출시되어 2024년 말부터 계속 운영되고 있었다.

약국 구매는 기본적으로 민감하다. 주문 데이터는 오용이 없더라도 건강 상태와 민망한 구매 내역을 드러낼 수 있다.

인증되지 않은 관리자 생성 엔드포인트는 한 번의 수정으로 해결되는 부류의 버그로, 운영 환경에서 1년 동안 살아남아서는 안 된다.

관리자 표면은 공격 표면이다. 약국의 주문 데이터는 건강 데이터이며, 인증되지 않은 관리자 생성 엔드포인트는 잠기지 않은 조제실이다.

이 버그는 2025년 8월 CERT-In 신고 후 몇 주 안에 수정됐고, 2025년 11월 말에 사이버 당국에 확인이 제공됐다. 연구원은 수정 후에 이를 공개했다.