Een kritieke kwetsbaarheid die meerdere IDEMIA biometrische identificatie-apparaten treft, kan worden misbruikt om deuren en tourniquets te ontgrendelen.
Vanwege dit veiligheidsgebrek kan een aanvaller in het netwerk, als het TLS-protocol niet is geactiveerd, specifieke commando's sturen zonder authenticatie om deuren of tourniquets te openen die rechtstreeks worden bediend door een kwetsbaar apparaat.
De aanvaller kan de bug ook misbruiken om een denial of service (DoS)-toestand te veroorzaken door een herstartopdracht naar het kwetsbare apparaat te sturen, volgens een adviserend gepubliceerd door IDEMIA, een in Frankrijk gevestigd technologiebedrijf dat gespecialiseerd is in identiteitsgerelateerde fysieke beveiligingsdiensten.
Geïdentificeerd door onderzoekers van het Russische cyberbeveiligingsbedrijf Positive Technologies – dat was gesanctioneerde door de Verenigde Staten vorig jaar wegens vermeende banden met de Russische inlichtingendienst – de fout heeft een CVSS-score van 9.1, maar er is tot nu toe geen CVE-identificatienummer voor afgegeven.
Betreffende producten zijn onder meer MorphoWave Compact MD/MDPI/MDPI-M, VisionPass MD/MDPI/MDPI-M, alle varianten van SIGMA Lite/Lite+/Wide, SIGMA Extreme en MA VP MD.
Het probleem treft alle organisaties die afhankelijk zijn van kwetsbare IDEMIA biometrische identificatieapparatuur, waaronder kritieke infrastructuurvoorzieningen, financiële instellingen, zorginstellingen en universiteiten.
"Activering, juiste configuratie van het TLS-protocol en installatie van het TLS-certificaat op het apparaat verhelpt de bovengenoemde kwetsbaarheid", zegt IDEMIA.
Het bedrijf is van plan om het gebruik van TLS standaard af te dwingen in toekomstige firmware-releases voor de getroffen apparaten, om het risico van biometrische identificatie-bypass volledig te elimineren.
“De kwetsbaarheid is geïdentificeerd in verschillende lijnen van biometrische lezers voor de IDEMIA ACS die zijn uitgerust met vingerafdrukscanners en gecombineerde apparaten die vingerafdrukken en aderpatronen analyseren. Een aanvaller kan mogelijk misbruik maken van de fout om een beveiligd gebied te betreden of toegangscontrolesystemen uit te schakelen”, zegt Vladimir Nazarov, hoofd van ICS Security bij Positive Technologies.
Zie ook: Diebold Nixdorf ATM-fouten lieten aanvallers toe om firmware te wijzigen en contant geld te stelen
Zie ook: Intel CPU-kwetsbaarheid kan cryptografische sleutels blootleggen
Zie ook: Door fouten in de WAGO-controller kunnen hackers industriële processen verstoren
Ionut Arghire is een internationale correspondent voor SecurityWeek.
Tags: 
