Исследователи предупредили о нескольких уязвимостях, обнаруженных в ПО для мониторинга банкоматов ScrutisWeb, разработанном французской компанией Iagona. Эти проблемы могут использоваться для удаленного взлома.
Уязвимости были обнаружены участниками red team компании Synack, и производитель устранил их в июле 2023 года с выпуском ScrutisWeb версии 2.1.38.
ScrutisWeb позволяет организациям осуществлять мониторинг парка банковских или устройств для розничной торговли прямо через браузер, что дает возможность оперативно реагировать на возникающие проблемы. ScrutisWeb позволяет контролировать аппаратное обеспечение, перезагружать или выключать девайс, отправлять и получать файлы, удаленно модифицировать данные. Стоит отметить, что в «парк банкоматов» могут входить и депозитные устройства для чеков, а также платежные терминалы.
Исследователи обнаружили в ScrutisWeb четыре уязвимости: CVE-2023-33871, CVE-2023-38257, CVE-2023-35763 и CVE-2023-35189. Эти проблемы связаны с обходом авторизации, обходом каталога (path traversal), жестко закодированным криптографическим ключом, а также с загрузкой произвольных файлов. Уязвимостями могут воспользоваться удаленные злоумышленники без аутентификации.
Баги могут использоваться для получения данных с сервера (настройки, журналы и базы данных), выполнения произвольных команд, а также для получения зашифрованных паролей администратора и их расшифровки с помощью жестко закодированного ключа.
По словам исследователей, в итоге атакующие могут использовать эти проблемы для входа в консоль управления ScrutisWeb от имени администратора и отслеживания работы подключенных к системе банкоматов, получив возможность активировать режим управления устройствами, перезагружать или выключать их, загружать файлы и так далее. Также хакеры могут использовать уязвимость удаленного выполнения команд, чтобы скрыть следы своей деятельности, удалив соответствующие файлы.
«Требуется дополнительное исследование, чтобы определить, может ли кастомное ПО быть загружено в отдельные банкоматы для осуществления эксфильтрации данных банковских карт, перенаправления Swift-переводов или других вредоносных действий. Однако такое дополнительное тестирование не входило в рамки нашего анализа», — отмечают исследователи.
