Lỗ hổng trong Trình đọc sinh trắc học IDEMIA cho phép tin tặc mở khóa cửa

Một lỗ hổng nghiêm trọng ảnh hưởng đến nhiều thiết bị nhận dạng sinh trắc học IDEMIA có thể được khai thác để mở khóa cửa ra vào và cửa quay.

Do lỗi bảo mật này, nếu giao thức TLS không được kích hoạt, kẻ tấn công trong mạng có thể gửi các lệnh cụ thể mà không cần xác thực tới các cửa mở hoặc cửa quay được vận hành trực tiếp bởi một thiết bị dễ bị tấn công.

Kẻ tấn công cũng có thể khai thác lỗi để gây ra tình trạng từ chối dịch vụ (DoS) bằng cách gửi lệnh khởi động lại thiết bị dễ bị tấn công, theo một cố vấn được xuất bản bởi IDEMIA, một công ty công nghệ có trụ sở tại Pháp chuyên về các dịch vụ bảo mật vật lý liên quan đến danh tính.

Được xác định bởi các nhà nghiên cứu tại công ty an ninh mạng của Nga Positive Technologies - vốn là bị xử phạt của Hoa Kỳ vào năm ngoái vì cáo buộc có quan hệ với tình báo Nga - lỗ hổng này có điểm CVSS là 9.1, nhưng cho đến nay vẫn chưa có số nhận dạng CVE nào được cấp cho nó.

Các sản phẩm bị ảnh hưởng bao gồm MorphoWave Compact MD / MDPI / MDPI-M, VisionPass MD / MDPI / MDPI-M, tất cả các biến thể của SIGMA Lite / Lite + / Wide, SIGMA Extreme và MA VP MD.

Vấn đề ảnh hưởng đến tất cả các tổ chức dựa vào các thiết bị nhận dạng sinh trắc học IDEMIA dễ bị tổn thương, bao gồm các cơ sở hạ tầng quan trọng, tổ chức tài chính, tổ chức chăm sóc sức khỏe và trường đại học.

IDEMIA cho biết: “Việc kích hoạt, cấu hình giao thức TLS thích hợp và cài đặt chứng chỉ TLS trên thiết bị sẽ khắc phục được lỗ hổng nói trên.

Công ty có kế hoạch thực thi việc sử dụng TLS theo mặc định trong các bản phát hành chương trình cơ sở trong tương lai cho các thiết bị bị ảnh hưởng, để loại bỏ hoàn toàn nguy cơ bỏ qua nhận dạng sinh trắc học.

“Lỗ hổng đã được xác định trong một số dòng đầu đọc sinh trắc học của IDEMIA ACS được trang bị máy quét dấu vân tay và các thiết bị kết hợp phân tích dấu vân tay và mẫu tĩnh mạch. Kẻ tấn công có thể khai thác lỗ hổng này để xâm nhập vào khu vực được bảo vệ hoặc vô hiệu hóa hệ thống kiểm soát truy cập ”, Vladimir Nazarov, người đứng đầu ICS Security tại Positive Technologies, cho biết.

Liên quan: Diebold Nixdorf ATM Flaws Những kẻ tấn công được phép sửa đổi chương trình cơ sở, ăn cắp tiền mặt

Liên quan: Lỗ hổng bảo mật CPU Intel có thể làm lộ các phím mật mã

Liên quan: WAGO Controller Flaws có thể cho phép tin tặc phá vỡ các quy trình công nghiệp