Máy quét vân tay và thẻ của GeoVision bị phát hiện có chứa backdoor và các lỗi bảo mật nghiêm trọng

Mới đây, GeoVision – một nhà sản xuất hệ thống video giám sát và camera IP của Đài Loan, đã cho vá ba trong số bốn lỗ hổng bảo mật nghiêm trọng trên máy quét vân tay và thẻ của công ty này. Lỗi bảo mật này có nguy cơ cho phép kẻ tấn công chặn lưu lượng mạng và thực hiện các cuộc tấn công xen giữa ( man-in-the-middle attack ).



Trong một báo cáo chia sẻ riêng với The Hacker News, Acronis – một nhà cung cấp các phần mềm bảo mật cho doanh nghiệp – cho biết họ đã phát hiện các lỗ hổng này vào năm ngoái sau khi tiến hành theo dõi một cuộc kiểm tra bảo mật định kỳ của một nhà bán lẻ lớn có trụ sở tại Singapore.



“Kẻ tấn công có thể thiết lập các kết nối mạng và theo dõi người dùng nội bộ hay đánh cắp dữ liệu mà không bao giờ bị phát hiện. Chúng có thể tái sử dụng dữ liệu vân tay của bạn để vào nhà hoặc các thiết bị cá nhân. Ngoài ra, chúng còn có thể dễ dàng dùng ảnh của chính bạn để thực hiện đánh cắp danh tính dựa trên dữ liệu sinh trắc học,” Acronis nói.



Tính tới thời điểm hiện tại, những lỗ hổng này đã ảnh hưởng đến ít nhất 6 nhóm thiết bị, với hơn 2.500 thiết bị được phát hiện trực tuyến trên khắp các nước từ Brazil, Mỹ, Đức cho đến Đài Loan và Nhật Bản, bên cạnh hàng ngàn thiết bị khác có nguy cơ bị xâm nhập từ xa.



Lỗ hổng đầu tiên liên quan đến một root password không được chứng thực trước đó cho phép backdoor của kẻ tấn công có thể truy cập vào thiết bị, đơn giản bằng cách sử dụng mật khẩu mặc định (“admin”) và thực hiện đăng nhập từ xa vào thiết bị đó (ví dụ: https://ip.of.the/.device/isshd.htm).



Lỗ hổng thứ hai liên quan đến việc sử dụng các khóa riêng được mã hóa khi xác thực qua giao thức SSH. Trong khi lỗ hổng thứ ba cho phép kẻ tấn công truy cập nhật ký hệ thống trên thiết bị (ví dụ: tại https: //ip.of.the.device/messages.txt và tại https: //ip.of.the.device/messages.old.txt) mà không cần qua bất kỳ khâu xác thực nào.





Lỗi bảo mật cuối cùng là một lỗ hổng tràn bộ đệm trong firmware ảnh hưởng đến đầu đọc dấu vân tay của GeoVision, cho phép kẻ tấn công chạy mã trái phép trên thiết bị. Và nó cũng không yêu cầu bất cứ khâu xác thực nào trước đó. Thậm chí nguy hiểm hơn là lỗi bảo mật này bị chấm điểm 10 trên hệ thống đánh giá lỗ hổng CVSS, khiến nó trở thành một lỗ hổng đặc biệt nghiêm trọng.



Acronis cho biết công ty này đã tiếp cận GeoVision lần đầu vào tháng 8 năm ngoái, cùng với hai lần sau đó vào tháng 9 và tháng 12, bên cạnh đó họ cũng liên hệ với SingCERT để thông báo về những phát hiện của mình. Nhưng phải đến đầu tháng này, GeoVision mới chính thức đưa ra các bản vá sửa lỗi cho ba lỗ hổng kể trên (version 1.22) trong khi vẫn chưa thể khắc phục lỗ hổng tràn bộ đệm cuối cùng.



Trung tâm ứng cứu khẩn cấp không gian mạng của Đài Loan (TWCERT) cũng đã thừa nhận sự xuất hiện của những lỗ hổng này và cho công bố các bản tư vấn bảo mật cho ba lỗi bảo mật – CVE-2020-3928 , CVE-2020-3929 và CVE-2020-3930 . Đồng thời, trung tâm này cũng thừa nhận những khó khăn trong quá trình khắc phục lỗ hổng firmware và xác nhận phiên bản cập nhật mới sẽ nhanh chóng được phát hành.



Bên cạnh đó, mặc dù tổ chức này không hề tiết lộ bất cứ thông tin kỹ thuật nào về lỗ hổng thứ tư, nhưng chúng tôi cho rằng lỗi bảo mật nghiêm trọng này có thể cho phép kẻ tấn công lợi dụng một tham số dễ bị xâm phạm và ghi đè lên các cấu trúc bộ nhớ chịu trách nhiệm quản lý bộ nhớ.



Lỗ hổng này cuối cùng sẽ ghi đè lên các con trỏ (pointer) trong các cấu trúc cụ thể, cho phép kẻ tấn công chuyển hướng luồng thực thi của chương trình sang mã độc của chúng và thực thi các lệnh tùy ý.



Chúng tôi đã liên hệ với GeoVision để hỏi thêm ý kiến của họ về các lỗ hổng mới này, tuy nhiên chúng tôi đã không nhận được bất cứ phản hồi nào trước khi xuất bản bài viết này.



“Một khi kẻ tấn công có toàn quyền kiểm soát thiết bị, chúng có thể tự do cài đặt các firmware độc hại do chính chúng tạo ra và sau đó sẽ gần như là bất khả thi để có thể đuổi chúng ra khỏi mạng”, Kevin Reed CISO của Acronis và chuyên gia bảo mật Alex Koshelev cho biết.



“Chúng tôi khá bất ngờ khi thấy một số nhà cung cấp không hề vội vã trong việc khắc phục các lỗ hổng nguy hiểm này, bởi lẽ ngoài việc làm ảnh hưởng nghiêm trọng đến chất lượng của mã nguồn đầu (initial source code), sự xuất hiện của các backdoor là một vấn đề rất đáng lo ngại. Điều đó cho thấy hệ thống bảo mật IoT bị lỗi, và công ty nào cũng cần phải hiểu rằng việc sử dụng các thiết bị như vậy có thể khiến họ có nguy cơ phải đối mặt với những rủi ro lớn hơn về sau này.”



Theo The Hacker News
The post Máy quét vân tay và thẻ của GeoVision bị phát hiện có chứa backdoor và các lỗi bảo mật nghiêm trọng appeared first on SecurityDaily .