歡迎光臨
每天分享高質量文章

【每日安全資訊】廣為使用的PremiSys門禁系統 被曝存在嚴重的硬編碼後門

據外媒報道,被公立院校、政府、以及財富 500 強企業廣泛使用的 PremiSys 門禁系統,近日被曝出存在硬編碼後門。其實早在去年年底的時候,Tenable Research 的一安全分析師,就已經在一套名為 PremiSys IDenticard 的訪問控制系統中,發現了一個硬編碼的後門。該軟體用於未員工創建身份識別信息(ID badges)和遠程管理讀卡器,以便對建築內各個部分的訪問權限進行管理。

Tenable Research 的 James Sebree 指出,IDenticard 的 PremiSys 3.1.190 版本,包含了一個允許攻擊者訪問管理功能的後門,讓它能夠在系統中添加、編輯和刪除用戶,分配權限、並控制建築物內的讀卡器。

PremiSys 基於 .Net 框架構建,因此 Sebree 能夠借助 Jetbrain 的“dotPeek”.Net 反編譯器,對該軟體進行逆向工程。

發現漏洞後,Sebree 多次通知 IDenticard、並試圖取得聯繫,但直到 45 天過去,該公司還是無動於衷。無奈之下,Sebree 選擇向計算機緊急響應小組(CERT)通報此事。

遺憾的是,儘管 CERT 嘗試與 IDenticard 聯繫,但 90 天后,該公司仍未作出回應。事已至此,他們只得公開披露相關漏洞。

鑒於未能訪問系統的物理組件,因此 Tenable 只是簡單描述了這款應用程式的服務流程。

PremiSys 中的身份驗證例程,包含一個名叫 IgnoreAuthentication()的函式。只要使用硬編碼憑證,此命令就能夠完全按照它所說的那樣去執行。

由於 IDenticard 的軟體被廣泛使用,因此漏洞的波及面相當之廣。

該公司的網站稱,其為財富 500 強企業、K-12 學校、各大院校、醫療中心、工廠,甚至地級、州級和聯邦政府機構與辦事處所採用。

鑒於這是一個硬編碼的漏洞,因此必須 IDenticard 自行修補。然而截止發稿時,該公司仍未就此事作出回應。

* 來源:cnBeta.COM

更多資訊

◈ 比特幣在2010年曾遭遇歷史上最大的黑客攻擊

http://t.cn/EqQvAP8

◈ 家中路由器對於黑客來說是一座座金礦

http://t.cn/EqQvbtP

◈ 特斯拉:黑客如找出旗下汽車軟體漏洞 將獲贈Model 3

http://t.cn/EqQvVYO

◈ 四黑客侵入遠程教育中心,竊取十萬學生信息賺百萬

http://t.cn/EqQv6Yw

(信息來源於網絡,安華金和搜集整理)

    赞(0)

    分享創造快樂