Một lỗi đơn giản đã làm lộ quyền truy cập vào hàng nghìn hệ thống báo động an ninh thông minh của công ty điện tử và năng lượng khổng lồ của Mỹ, Eaton. Nhà nghiên cứu bảo mật Vangelis Stykas đã phát hiện lỗ hổng trong Kết nối an toàn của Eaton, một hệ thống dựa trên đám mây cho phép khách hàng truy cập, quản lý và kích hoạt từ xa hệ thống báo động an ninh của họ từ ứng dụng di động. Lỗ hổng này cho phép bất kỳ ai đăng ký với tư cách người dùng mới và chỉ định tài khoản đó cho bất kỳ nhóm người dùng nào khác, bao gồm cả nhóm “root” có quyền truy cập vào tất cả các hệ thống báo động thông minh. Lỗ hổng được gọi là tham chiếu đối tượng trực tiếp không an toàn (IDOR) và rất dễ khai thác. Việc thêm người dùng vào nhóm gốc đã cung cấp quyền truy cập vào mọi thông tin, bao gồm tên, địa chỉ email và vị trí của các hệ thống báo động an ninh. Mặc dù Eaton đã khắc phục lỗi này từ tháng Năm, công ty không tiết lộ số lượng khách hàng sử dụng hệ thống báo động an ninh thông minh. Eaton cũng từ chối cho biết liệu lỗ hổng này đã cho phép điều khiển từ xa các hệ thống báo động an ninh được kết nối hay không.
Nguồn: https://techcrunch.com/2023/06/16/eaton-secureconnect-security-alarm-vulnerability/
Công ty điện tử và năng lượng khổng lồ của Mỹ Eaton đã sửa một lỗ hổng bảo mật cho phép một nhà nghiên cứu bảo mật truy cập từ xa vào hàng nghìn hệ thống báo động an ninh thông minh.
nhà nghiên cứu bảo mật Vangelis Stykas cho biết anh đã tìm thấy lỗ hổng trong Kết nối an toàn của Eatonmột hệ thống dựa trên đám mây cho phép khách hàng truy cập, quản lý và kích hoạt từ xa cũng như vô hiệu hóa hệ thống báo động an ninh của họ từ một ứng dụng dành cho thiết bị di động.
Stykas cho biết lỗ hổng này cho phép bất kỳ ai đăng ký với tư cách người dùng mới và chỉ định tài khoản đó cho bất kỳ nhóm người dùng nào khác, bao gồm cả nhóm “root”, nhóm này có quyền truy cập vào tất cả các hệ thống báo động thông minh được kết nối với đám mây của Eaton.
Lỗ hổng được gọi là tham chiếu đối tượng trực tiếp không an toàn hoặc IDOR, một loại lỗi bảo mật cho phép truy cập không được kiểm soát vào tệp, dữ liệu hoặc tài khoản người dùng do kiểm soát truy cập yếu hoặc thiếu trên máy chủ. Stykas cho biết lỗi này rất dễ khai thác bằng cách sử dụng các công cụ trung gian như Burp Suite bằng cách chặn số nhóm của người dùng mới và hoán đổi nó với số của nhóm gốc, đơn giản là “1”.
Stykas cho biết việc thêm người dùng vào nhóm gốc “đã cấp quyền truy cập vào mọi thứ”, bao gồm tên và địa chỉ email của người dùng đã đăng ký cũng như vị trí của mọi hệ thống báo động an ninh được kết nối. Stykas nói rằng quyền truy cập có thể cho phép kẻ tấn công tiềm năng điều khiển từ xa các hệ thống cảnh báo an ninh được kết nối với đám mây của Eaton — mặc dù hắn không cố gắng thực hiện điều này.
trong một thông báo bảo mật được công bố trên trang web của mình, Eaton xác nhận rằng lỗi này đã được phát hiện trong logic ủy quyền truy cập nhóm của mình.
Jonathan Hart, phát ngôn viên của Eaton, cho biết lỗ hổng này đã được khắc phục vào tháng Năm. Hart từ chối cho biết có bao nhiêu khách hàng sử dụng hệ thống báo động thông minh, mặc dù Stykas cho biết số lượng hệ thống báo động thông minh được kết nối với Eaton lên tới hàng chục nghìn.
Eaton từ chối cho biết liệu lỗ hổng có cho phép điều khiển từ xa các hệ thống báo động an ninh được kết nối hay không. Eaton cho biết lỗ hổng này “đã được xác minh là một sự kiện đơn lẻ”, nhưng không cho biết làm thế nào mà họ đưa ra kết luận này hoặc liệu công ty có các phương tiện kỹ thuật, chẳng hạn như hệ thống ghi nhật ký, để xác định xem lỗ hổng đã được phát hiện hay bị khai thác trước đó hay chưa.
[ad_2]
