DTMF-Töne zur physischen Zugangsgewährung am Fermax Lift-Intercom-System (CVE-2017-16778)

Besondere Erwähnungen

• Allen voran @dizijoyjoy für die Unterstützung beim Demoset für eine erfolgreiche Aufnahme.
• Besonderer Dank an Fermax für die schnelle Reaktion auf den Sicherheitsfehlerbericht zu ihrem Produkt. Sie haben eng kommuniziert und koordiniert und ständig Updates zu ihren Fehlerbehebungs- und Patch-Aktivitäten bereitgestellt. Vielen Dank für die angenehme Zusammenarbeit!

Kurzbeschreibung

Ein Fermax Intercom-Systemprodukt erwies sich als anfällig für einen Autorisierungsumgehungsangriff mittels Dual-Tone Multiple-Frequency (DTMF)-Tönen. Ein solcher Umgehungsangriff könnte es einem Angreifer ermöglichen, unbefugten Zugang zu einer Wohnebene zu erhalten, ohne die ordnungsgemäße Genehmigung oder Kenntnis des Wohnungseigentümers. Alle beschränkten Stockwerke könnten möglicherweise zugänglich gemacht werden, wenn die Sprechanlage mit dem Aufzug integriert ist. Fermax hat dies inzwischen bei den betroffenen Produktlinien behoben.

Details

Es wurde beobachtet, dass ein Außenpanel aus Fermax' Produktpalette, genauer gesagt ein Fermax Außenpanel, das für die Integration mit Aufzugsanlagen angepasst wurde, anfällig für einen Autorisierungsumgehungsangriff durch Imitation von Dual-Tone Multiple-Frequency (DTMF)-Tönen war. Designbedingt ist das integrierte Aufzugs-Gegensprechsystem so konfiguriert, dass es verschiedene Wohnungsnummern eines Gebäudes (z. B. #03-010) den Telefonnummern des Eigentümers, wie Festnetz- oder Mobilnummern, zuordnet. Wenn ein Besucher auf einer öffentlich zugänglichen Ebene, wie Keller 1 oder Erdgeschoss, ankommt, gibt der Besucher die Wohnungsnummer ein und drückt das 'Glocken'-Symbol, um den Eigentümer zu kontaktieren. Wenn der Eigentümer das Telefon abnimmt und dem Besucher Zugang zur Etage der Wohnung gewähren möchte, kann der Eigentümer auf seinem Telekommunikationsgerät (z. B. Mobilgerät) die Tasten '1' und '#' drücken, um eine 'Zugangsgewährung' auszulösen. Dies würde die Sprechanlage veranlassen, den Aufzug zur Ebene des Besuchers zu rufen und dem Besucher den Zugang zu dieser Ebene zu gewähren. Unter normalen Umständen kann einem Benutzer nur Zugang zu einer Ebene gewährt werden, wenn er seine Zugangskarte scannt oder eine Zugangsberechtigung über das oben genannte Intercom-System erhält. Es wurde jedoch beobachtet, dass dieser Mechanismus umgangen werden kann, indem man einen lauten DTMF-Ton, der '1' darstellt, und einen langen Ton '#' über die Sprechanlage abspielt. Infolgedessen könnte ein Angreifer mit einem Audiowiedergabegerät wie einem Mobiltelefon oder einem Bluetooth-Lautsprecher ein '1' und einen langen '#'-Ton abspielen, um eine 'Zugangsgewährung' an der Sprechanlage auszuführen und so unbefugten physischen Zugang zur Ebene des Opfers zu erlangen. Das Opfer ist in diesem Fall der Eigentümer der Wohnungsnummer, die in das Intercom-System eingegeben wurde.

Proof-of-Concept-Demo

Um die Demo anzusehen, klicken Sie bitte auf das untenstehende Bild, um zum YouTube-Video weitergeleitet zu werden:

Entschuldigung, YouTube erlaubt hier kein Einbetten von Videos

FAQ zur POC-Demo

F1. Warum schlugen die ersten 3 Male fehl und nur das 4. Mal funktionierte?

Antwort: Die ersten 3 DTMF-Wiedergaben liefen über die automatisierte Mailbox-Stimme. Das Signal-Rausch-Verhältnis war nicht gut genug, damit die Sprechanlage es aufnehmen konnte. Es ist vergleichbar mit der Schwierigkeit, Google Home oder Alexa dazu zu bringen, Ihnen zuzuhören, wenn im Hintergrund etwas Lautes läuft. Die Störgeräusche können von Wählton tot oder besetzt, Voicemail-Nachrichten usw. reichen. Um dies zu beheben, erhöhen Sie die Lautstärke der DTMF-Tonwiedergabe.

F2. Warum nicht einfach das Wählfeld an der Sprechanlage verwenden?

Antwort: Das Wählfeld erzeugt keine Echtzeit-DTMF-Töne. Es tut dies nur, wenn Sie die 'Glocken'-Taste (Symbol) drücken und nur die Nummer wählen, die der eingegebenen Wohnungsnummer zugeordnet ist. Zusätzlich funktioniert es nicht, wenn der Lautsprecher-Empfänger bereits aktiv ist.

Betroffenes Produkt

Fermax Außenpanel - FER-VCP-NNN (z. B. FER-VCP-100)

Angriffsvektor

DTMF-Töne mittels eines sekundären Audiowiedergabegeräts (z. B. Telefon oder Bluetooth-Lautsprecher), die über die Audio-Lautsprecher-Empfänger-Komponente übertragen werden.

Schritte zur Reproduktion des Befunds

1. An der Sprechanlage eine Wohnungsnummer wählen. Entweder warten, bis der Eigentümer abhebt, ODER warten, bis der Eigentümer den Anruf ablehnt.
2. Während der Lautsprecher aktiviert ist, den DTMF-Ton abspielen: 1 (kurz) und # (lang).
3. Beobachten, dass das interaktive Intercom-Panel "Connected >>>>>>>>>>>>>>" anzeigt und die LED des Aufzugsknopfs aufleuchtet.
4. Betreten Sie den Aufzug und drücken Sie die entsprechende Etage der Einheit (z. B. wenn Sie 0301 + [GLOCKE] wählen, sollten Sie Stockwerk 3 auswählen). Sie sollten sehen, dass Sie den Sicherheitsmechanismus über die Sprechanlage erfolgreich umgangen haben.

Auswirkung

Physische Räumlichkeiten, die mit diesem integrierten Aufzugs-Gegensprechsystem ausgestattet sind, haben ein erhöhtes Risiko eines unbefugten physischen Zugangs zu den beschränkten Stockwerken des Gebäudes.

Empfehlung

Es wird empfohlen, dass das integrierte Aufzugs-Gegensprechsystem die Quelle der DTMF-Töne validiert, in diesem Fall die DTMF-Töne der Tasten '1' und '#'. Es sollte unterscheiden und nur die Autorisierung durch das Gerät des Wohnungseigentümers erlauben, nicht über den Audio-Lautsprecher-Empfänger des Systems.

Weitere Informationen

Haftungsausschluss

Alle Aktivitäten an den Anlagen erfolgten im Zuständigkeitsbereich des Wohnungseigentümers und mit vorheriger Genehmigung des Wohnungseigentümers.

Offenlegungszeitplan