Zero
Immagine: IDenticard (YouTube screengrab)
Codificato password e altre queste vulnerabilità può consentire agli hacker di prendere il controllo della carta d’identità-base di costruzione di sistemi di accesso, i ricercatori Sostenibile, hanno rivelato.
Nonostante non viene detto dei problemi sia Sostenibile e l’US Computer Emergency Response Team (US-CERT), il venditore non ha rilasciato una patch, nemmeno risposto ai ricercatori.
La vulnerabilità, quattro in totale– influenzare PremiSys, una carta di costruzione del sistema di accesso sviluppato da IDenticard. Dettagli su i quattro difetti sono stati pubblicati oggi in un Sostenibile avviso di sicurezza. Informazioni più dettagliate è disponibile anche in una Media di post di blog creati dall’Sostenibile ricercatore che ha trovato problemi.
Dei quattro, il più importante falla di sicurezza è un tracciato come CVE-2019-3906. Secondo Sostenibile, il PremiSys costruzione di un sistema di accesso viene fornito con un hardcoded password per l’account di amministratore.
“Gli utenti non sono autorizzati a cambiare queste credenziali,” Tenable i ricercatori hanno detto. “Il solo mitigazione sembra essere quella di limitare il traffico di questo endpoint, che può o non può avere un ulteriore impatto sulla disponibilità dell’applicazione stessa.”
“Queste credenziali può essere utilizzato da un utente malintenzionato per eseguire il dump il contenuto del distintivo di database di sistema, modificare i contenuti, o di altri vari compiti con accesso libero,” i ricercatori hanno aggiunto.
Il nome utente e la password sono “IISAdminUsr” e “Badge1.”
Se PremiSys server sono esposti online, un utente malintenzionato può utilizzare il nome utente e la password di accesso di un edificio ID della scheda del sistema di gestione e di introdurre canaglia carte o disabilitare l’accesso a funzioni di controllo del tutto.
Un Shodan ricerca mostra solo una manciata di questi sistemi connessi a internet, un buon segno che la maggior parte delle aziende hanno assicurato sistemi, tuttavia, i sistemi non connessi a internet può essere ancora sfruttato dalla rete locale.
Gli altri tre difetti, non è così grave come la prima, ma pericoloso, tuttavia, includono:
CVE-2019-3907 – le credenziali dell’Utente e altre informazioni sensibili memorizzate con una nota-debole il metodo di crittografia (Base64 codifica hash MD5 – sale + password).CVE-2019-3908 – IDenticard i backup vengono memorizzati all’interno di un file ZIP protetto da password. La password è “ID3nt1card.”CVE-2019-3909 – Il IDenticard servizio consente di installare con un database predefinito nome utente e la password di “PremisysUsr” / “ID3nt1card.” Ci sono anche le istruzioni per l’incontro di più la password standard utilizzando “ID3nt1cardID3nt1card.” Gli utenti non possono modificare la password senza l’invio personalizzato password direttamente il fornitore per ricevere una crittografato variante di usare nelle loro configurazioni. Queste le credenziali possono essere utilizzati dagli hacker per accedere al sensibile al contenuto di un database.
Sostenibile, dice la vulnerabilità riguardano PremiSys sistemi che eseguono la versione del firmware 3.1.190, e forse altri. Perchè il venditore non ha collaborato con la ricerca o US-CERT squadra, non è chiaro se i problemi segnalati sono stati aggiornati. I ricercatori non sono stati in grado di mettere le mani sulla più recente versione del PremiSys firmware per verificare se il venditore spediti in silenzio una patch senza avvisare il team di ricerca, anche se questo è altamente improbabile.
Secondo il suo sito web, IDenticard ha decine di migliaia di clienti in tutto il mondo, tra cui agenzie governative, aziende Fortune 500, K-12 scuole, università, centri medici e di altri.
Contattato per un commento da ZDNet, un IDenticard portavoce reindirizzato alla nostra richiesta e per la sua società madre, la Brady Corporation. I tentativi di ottenere ahold di un portavoce che potrebbe parlare su questo problema di sicurezza sono stati un insuccesso dopo ripetute chiamate.
Sostenibile, i ricercatori sono ora raccomandando che le società di revisione, se il loro PremiSys sistemi sono esposti online e di come gli amministratori di sistema sono l’accesso PremiSys backend.
“Per ridurre il rischio di compromettere, gli utenti dovrebbero segmento di rete per garantire sistemi come PremiSys sono isolati da minacce interne ed esterne, per quanto possibile,” Tenable raccomandato.
Più sicurezza informatica notizie:
Hyatt Hotels lancia il bug bounty programG aggiornamento della Suite avverte quando qualcuno sta esportando i dati della tua azienda
Il riconoscimento facciale non funziona come previsto, 42 di 110 testato smartphonesNew strumento consente di automatizzare gli attacchi di phishing che ignorano 2FA
Zerodium ora pagare $2 milioni per iOS di Apple remote jailbreaksMost router di casa non approfittano di Linux funzionalità di sicurezza avanzate
Google now permette di donare in beneficenza tramite il Play Store CNETPhishing e di spear-phishing: Un cheat sheet per i professionisti TechRepublic
Argomenti Correlati:
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati
0