Nul
Afbeelding: IDenticard (YouTube screengrab)
Een hard gecodeerde wachtwoord en andere niet-gepatchte kwetsbaarheden kunnen hackers de controle over een ID-kaart-gebaseerde toegang tot het gebouw systemen, onderzoekers uit Houdbaar is gebleken.
Ondanks het feit dat verteld van de problemen door zowel de Houdbaarheid en de AMERIKAANSE Computer Emergency Response Team (US-CERT), van de leverancier niet heeft uitgegeven een patch, zelfs niet gereageerd op de onderzoekers.
De kwetsbaarheden-vier in totaal– beïnvloeden PremiSys, een kaart-gebaseerde toegang tot het gebouw van het systeem ontwikkeld door IDenticard. Details over de vier fouten zijn vandaag gepubliceerd in een Houdbare beveiligingsadvies. Meer uitgebreide informatie is ook beschikbaar in een Middelgrote blog post zijn geschreven door de Houdbaar onderzoeker die de problemen.
Van de vier, de belangrijkste lek is de bijgewerkte CVE-2019-3906. Volgens Houdbaar, de PremiSys toegang tot het gebouw-systeem wordt geleverd met een hard gecodeerde wachtwoord voor de admin-account.
“Het is gebruikers niet toegestaan deze te veranderen referenties,” Houdbaar onderzoekers gezegd. “De enige matiging lijkt te beperken en het verkeer naar dit eindpunt, dat kan wel of niet hebben van een verdere impact hebben op de beschikbaarheid van de applicatie zelf.”
“Deze gegevens kunnen worden gebruikt door een aanvaller om een dump van de inhoud van de badge systeem database, wijzigen van de inhoud, of diverse andere taken uitvoeren met vrije toegang,” de onderzoekers toegevoegd.
De gebruikersnaam en het wachtwoord zijn “IISAdminUsr” en “Badge1.”
Als PremiSys servers zijn blootgesteld online, kan een aanvaller gebruik deze gebruikersnaam en wachtwoord in om toegang te krijgen tot een gebouw van de ID-kaart management systeem en de invoering van rogue kaarten of uitschakelen access control beschikt over in totaal.
Een Shodan zoeken toont slechts een handvol van deze systemen verbonden met het internet, een goed teken dat de meeste bedrijven hebben een beveiligde systemen, echter, systemen niet is aangesloten op het internet, kunnen nog steeds worden uitgebuit vanaf het lokale netwerk.
De drie andere gebreken, niet zo ernstig als de eerste, maar toch gevaarlijk, zijn:
CVE-2019-3907 – referenties van de Gebruiker en andere gevoelige gegevens zijn opgeslagen met een bekende zwakke encryptie methode (Base64-gecodeerd MD5-hashes – zout + wachtwoord).CVE-2019-3908 – IDenticard back-ups worden opgeslagen in een met een wachtwoord beveiligd ZIP-bestand. Het wachtwoord is “ID3nt1card.”CVE-2019-3909 – De IDenticard service wordt geïnstalleerd met een standaard gebruikersnaam en het wachtwoord van “PremisysUsr” / “ID3nt1card.” Er zijn ook instructies voor de vergadering langer wachtwoord door het gebruik van normen “ID3nt1cardID3nt1card.” Gebruikers kunnen dit wachtwoord veranderen zonder het te verzenden aangepaste wachtwoorden aan de verkoper direct in aanmerking te komen voor een versleutelde variant te gebruiken in hun configuraties. Deze bekende referenties kunnen worden gebruikt door aanvallers om toegang te krijgen tot de gevoelige inhoud van de databases.
Houdbaar zegt de kwetsbaarheden van invloed zijn op PremiSys systemen met firmware versie 3.1.190, en eventueel anderen. Omdat de verkoper niet meewerkt met het onderzoek of US-CERT team, het is onduidelijk of de gerapporteerde problemen hersteld. De onderzoekers waren niet in staat om hun handen te krijgen op de nieuwste versie van de PremiSys firmware om te controleren of de verkoper is geleverd een stille patch zonder kennisgeving aan de research team, hoewel dit zeer onwaarschijnlijk is.
Volgens haar website, IDenticard heeft tienduizenden klanten over de hele wereld, met inbegrip van overheidsinstanties, bedrijven uit de Fortune 500, K-12 scholen, universiteiten, medische centra en anderen.
Benaderd voor een reactie door ZDNet, een IDenticard woordvoerder omgeleid ons verzoek tot het moederbedrijf, de Brady Corporation. Probeert te krijgen ahold van een woordvoerder die kon spreken over dit beveiligings probleem niet succesvol was, na herhaalde oproepen.
Houdbaar onderzoekers zijn nu te bevelen dat bedrijven review als hun PremiSys systemen zijn blootgesteld online en hoe systeembeheerders toegang tot PremiSys backends.
“Om het risico te verminderen van het compromis, moeten gebruikers het segmenteren van hun netwerk om ervoor te zorgen systemen zoals PremiSys zijn geïsoleerd van de interne en externe bedreigingen zo veel mogelijk” Houdbaar is aanbevolen.
Meer cybersecurity nieuws:
Hyatt Hotels lanceert bug bounty programG Suite update waarschuwt u wanneer iemand het exporteren van de gegevens van uw bedrijf
Gezichtsherkenning werkt niet zoals de bedoeling is op 42 van 110 getest smartphonesNew hulpprogramma automatiseert phishing-aanvallen die bypass 2FA
Zerodium zal betalen nu $2 miljoen voor Apple iOS remote jailbreaksMost thuis routers geen gebruik maken van het Linux verbeterde beveiligingsfuncties
Google nu kunt u doneren aan goede doelen via de Play Store CNETPhishing en spearphishing: Een cheat sheet for business professionals TechRepublic
Verwante Onderwerpen:
Beveiliging TV
Data Management
CXO
Datacenters
0