นักวิจัยพบช่องโหว่บนระบบ Access Control ยอดนิยมที่ใช้ในอาคาร
credit : IDenticard Tenable ผู้ให้บริการโซลูชันด้านความมั่นคงปลอดภัยได้ร่วมกับ US-CERT เปิดเผยถึงช่องโหว่ 4 รายการบนระบบ Access Control ของอาคารจาก IDenticard ผู้ให้บริการยอดนิยมซึ่งมีลูกค้าหลายหมื่นรายทั่วโลกในหลายกลุ่ม เช่น บริษัททั่วไป สถาบันการศึกษา ศูนย์การแพทย์ โรงงาน และหน่วยงานรัฐบาล เป็นต้น โดยช่องโหว่ที่จัดได้ว่าน่ากังวลคือระบบมีการฝังรหัสผ่านของผู้ดูแลเอาไว้ ทั้งนี้ปัจจุบันผู้ผลิตยังเพิกเฉยต่อการแจ้งเตือนจากนักวิจัยอีกด้วย ช่องโหว่ 4 รายการถูกพบบนผลิตภัณฑ์ PremiSys ของ IDenticard มีดังนี้ CVE-2019-3906 หรือช่องโหว่ Hardcoded Password ของผู้ดูแลซึ่งผู้ใช้งานไม่สามารถแก้ไขอะไรได้ด้วย โดยรหัสผ่านนั้นคือ ‘Badge1’ และชื่อผู้ใช้คือ ‘IISAdminUsr’ แต่เคราะห์ดีจากการทดสอบค้นหาด้วย Shodan ไม่ค่อยพบผู้ใช้ที่เปิดให้เซิร์ฟเวอร์ PremiSys เชื่อมต่อโดยตรงกับอินเทอร์เน็ตที่แฮ็กเกอร์จะใช้รหัสผ่านข้างต้นได้ CVE-2019-3907 คือ Credentials ของผู้ใช้และข้อมูลอื่นถูกเก็บไว้อย่างไม่มั่นคงปลอดภัยเพราะมีการเข้ารหัสที่อ่อนแอ CVE-2019-3908 พบไฟล์ Backup ถูกเก็บเป็น Zip ที่มีรหัสผ่านคือ ‘ID3nt1card’ CVE-2019-3909 นักวิจัยพบว่าทาง…
