Tenable ブログ
ブログ通知を受信する
PremiSys IDenticardアクセス制御システムにおける複数のゼロデイ脆弱性
Tenable Researchは、PremiSys IDenticardアクセス制御システムにおける複数のゼロデイ脆弱性を発見しました。1月9日現在、IDenticardはこれらの脆弱性に対するパッチをリリースしていません。
背景
Tenable ResearchはIDenticardのPremiSysアクセス制御システムの4つの脆弱性を発見しました。PremiSysシステムは、ビデオ監視システムと統合したドア制御やアクセスカードの管理、および詳細な施設データの収集を可能にします。
Tenableは、ベンダーがこれらの脆弱性に対処するために複数回Computer Emergency Response Team（CERT）に通知しましたが、1月9日現在、ベンダーはまだ応答していません。Tenableの開示スケジュールによると90日間の開示期間は2019年1月3日に終了しています。
分析
以下の脆弱性は、PremiSys IDenticardのバージョン3.1.190で確認されています。Tenable Researchはこの脆弱性を検証するために最新バージョンへのアクセスを要求しましたが、ベンダーからの応答はありませんでした。
CVE-2019-3906: ハードコーディングされた資格情報（サービスへの管理者アクセス）
このサービスには、PremiSys Windows Communication Foundation（WCF）サービスエンドポイントを介してサービス全体への管理者アクセスを提供するハードコードされた資格情報 (CWE-798)が含まれています。
これらの資格情報の変更は、ユーザーに許可されていません。唯一の緩和策は、トラフィックをこのエンドポイントに制限することであると思われますが、これにより、アプリケーション自体の可用性がさらに影響される可能性があります。
攻撃者は、これらの資格情報を悪用し、バッジシステムデータベースの内容のダンプ、内容の変更、または自由にアクセスして他のさまざまなタスクを実行する可能性があります。
CVE-2019-3907: 攻撃に弱いハッシュ/暗号化
ユーザーの資格情報やその他の機密情報は、既知の弱い暗号化方式（Base 64エンコードのMD5ハッシュ - salt +パスワード）で保存されています。
CVE-2019-3908: ハードコードされたパスワード
IDカードのバックアップは、単にパスワードで保護されたzipファイルであるidbak形式で保存されます。コンテンツを解凍するためのパスワードはアプリケーションにハードコードされています（ "ID3nt1card"）。
CVE-2019-3909: デフォルトのデータベース資格情報（サービスデータベースへのフルアクセス）
IDenticardサービスは、デフォルトのデータベースユーザー名とパスワード 「PremisysUsr」 / 「ID3nt1card」を使用してインストールされます。より長いパスワード標準を満たすために「ID3nt1cardID3nt1card」を使用する指示もありますが、このパスワードを変更するには、ユーザーはカスタムパスワードを直接ベンダーに送信し、設定で使用するための暗号化されたバリアントを受け取る必要があります。攻撃者は、これらの既知の資格情報を悪用し、データベースの機密コンテンツにアクセスする可能性があります。
ソリューション
ベンダーのパッチがないため、影響を受けるユーザはこれらの脆弱性を軽減するよう試みる必要があります。このようなシステムは決してインターネットに公開されてはならず、適切なネットワークセグメンテーションを介して分離する必要があります。
追加情報
これらの脆弱性を発見したJimi Sebreeの研究についての詳細については、Tenable Tech Blog on Mediumをご覧ください。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Microsoft’s June 2024 Patch Tuesday Addresses 49 CVEs
June 11, 2024Microsoft addresses 49 CVEs in its June 2024 Patch Tuesday release with one rated as critical and no zero-day or publicly disclosed vulnerabilities. Our counts omitted two CVEs that were not issued by Microsoft, which include CVE-2023-50868 (issued by MITRE) and CVE-2024-29187 (issued by GitHub).
Rockwell Automation: Disconnect OT Devices with Public-Facing Internet Access, Patch or Mitigate Logix, FactoryTalk CVEs
June 5, 2024An advisory from Rockwell Automation reiterates the importance of disconnecting operational technology devices with public-facing internet access and patching and mitigating systems vulnerable to several flaws.
CVE-2024-4358, CVE-2024-1800: Exploit Code Available for Critical Exploit Chain in Progress Telerik Report Server
June 4, 2024Researchers have released an exploit chain to achieve remote code execution on unpatched instances of Progress Telerik Report Server. Immediate patching is recommended.
Cybersecurity Snapshot: U.K. Cyber Agency Urges Software Vendors To Boost Product Security, While U.S. Gov’t Wants Info on Banks’ AI Use
June 14, 2024Check out the NCSC’s call for software vendors to make their products more secure. Plus, why the Treasury Department is looking at how financial institutions are using AI. And the latest on the cybersecurity skills gap in the U.S. And much more!
Microsoft’s June 2024 Patch Tuesday Addresses 49 CVEs
June 11, 2024Microsoft addresses 49 CVEs in its June 2024 Patch Tuesday release with one rated as critical and no zero-day or publicly disclosed vulnerabilities. Our counts omitted two CVEs that were not issued by Microsoft, which include CVE-2023-50868 (issued by MITRE) and CVE-2024-29187 (issued by GitHub).
Cloud Workload Protection: The Key to Decreasing Cloud Security Risks
June 11, 2024More than 80% of all breaches involve data stored in the cloud, and security teams that don’t use cloud workload protection (CWP) may never get ahead of attackers who want to access as much data as possible with the least effort. A single cloud breach is often the most straightforward way into these sensitive environments. On average, it costs nearly $5 million to respond and recover. So, why are so many organizations still using traditional on-prem security that isn't designed for the dynamic cloud?
- Vulnerability Management