Utilisation de tonalités DTMF pour l'octroi d'accès physique sur un système d'interphone d'ascenseur Fermax (CVE-2017-16778)

Mentions spéciales

• Tout d'abord, @dizijoyjoy pour avoir aidé sur le décor de la démo afin de réussir la prise de vue.
• Remerciements particuliers à Fermax pour la réponse rapide au rapport de sécurité sur leur produit. Ils ont communiqué et coordonné étroitement, et ont constamment fourni des mises à jour sur leurs correctifs et activités de mise à jour. Merci pour cette agréable collaboration !

Brève description

Un système d'interphone Fermax s'est avéré vulnérable à une attaque de contournement d'autorisation via des tonalités DTMF (Dual-tone Multiple Frequencies). Un tel contournement pourrait permettre à un attaquant d'obtenir un accès non autorisé à un étage résidentiel sans l'approbation ou la connaissance du propriétaire de l'unité résidentielle. Tous les étages restreints pourraient potentiellement être accessibles si cet interphone est intégré à l'ascenseur. Fermax a depuis corrigé ce problème sur les gammes de produits concernées.

Détails

Il a été observé qu'un panneau extérieur appartenant à la gamme de produits Fermax, spécifiquement un panneau extérieur Fermax personnalisé pour être intégré à des systèmes d'ascenseur, s'est avéré vulnérable à une attaque de contournement d'autorisation via l'usurpation de tonalités DTMF. Par conception, le système d'interphone d'ascenseur intégré est configuré pour attribuer divers numéros d'unité d'un bâtiment (par exemple #03-010) aux numéros de téléphone du propriétaire, comme une ligne fixe ou un numéro mobile. Lorsqu'un visiteur arrive à un niveau accessible au public, comme le sous-sol 1 ou le rez-de-chaussée, le visiteur compose le numéro de l'unité et appuie sur l'icône 'cloche' pour contacter le propriétaire. Si le propriétaire décroche et souhaite permettre au visiteur d'accéder à l'étage de l'unité, le propriétaire peut appuyer sur '1' et '#' sur son dispositif de télécommunication (par exemple un appareil mobile) pour déclencher un 'octroi d'accès'. Cela amènerait l'interphone à appeler l'ascenseur au niveau du visiteur et à accorder l'accès au niveau. Dans des circonstances normales, un utilisateur ne peut accéder à un niveau que s'il scanne sa carte d'accès ou obtient une autorisation d'accès via le système d'interphone mentionné ci-dessus. Cependant, il a été observé que ce mécanisme peut être contourné en jouant une tonalité DTMF forte représentant '1' et une longue rafale '#' via le système d'interphone. En conséquence, un attaquant avec un dispositif de lecture audio tel qu'un téléphone mobile ou une enceinte Bluetooth pourrait jouer un '1' et une longue rafale '#' pour exécuter un 'octroi d'accès' sur l'interphone, obtenant ainsi un accès physique non autorisé au niveau de la victime. La victime, dans ce cas, est le propriétaire du numéro d'unité qui a été saisi dans le système d'interphone.

Démo de preuve de concept

Pour regarder la démo, veuillez cliquer sur l'image ci-dessous pour être redirigé vers la vidéo Youtube :

Désolé, Youtube ne permet pas d'intégrer des vidéos ici

FAQ sur la démo POC

Q1. Pourquoi les 3 premières fois ont échoué et seulement la 4ème a fonctionné ?

Rép : Les 3 premières lectures DTMF sur la messagerie vocale automatisée. Le rapport signal/bruit n'était pas suffisant pour que l'interphone capte. C'est comme avoir du mal à faire écouter Google Home ou Alexa quand il y a quelque chose de fort en arrière-plan. Le bruit peut aller de la tonalité de ligne occupée ou d'appel, au message vocal, etc. Pour résoudre, augmentez le volume de la lecture des tonalités DTMF.

Q2. Pourquoi ne pas simplement utiliser le pavé numérique de l'interphone ?

Rép : Le pavé numérique ne génère pas de tonalités DTMF en temps réel. Il ne le fait que lorsque vous appuyez sur le bouton 'cloche' (symbole) et composez uniquement le numéro attribué au numéro d'unité que vous avez saisi. De plus, il ne fonctionne pas lorsque le haut-parleur-micro est déjà actif.

Produit concerné

Fermax Outdoor Panel - FER-VCP-NNN (e.g. FER-VCP-100)

Vecteur d'attaque

Tonalités DTMF utilisant un dispositif de lecture audio secondaire (par exemple, téléphone ou enceinte Bluetooth) délivrées via le composant haut-parleur-micro.

Étapes pour reproduire la découverte

1. À l'interphone, composez un numéro d'unité. Attendez que le propriétaire réponde OU attendez que le propriétaire rejette l'appel.
2. Pendant que le haut-parleur est activé, jouez la tonalité DTMF : 1 (court) et # (long).
3. Observez que le panneau interactif de l'interphone affiche 'Connecté >>>>>>>>>>>>>>' et que le bouton de l'ascenseur s'allume.
4. Entrez dans l'ascenseur et appuyez sur le niveau correspondant à l'unité (par exemple, si vous composez 0301 + [CLOCHE], vous devriez sélectionner le 3e étage). Vous devriez constater que vous avez contourné avec succès le mécanisme de sécurité via l'interphone.

Impact

Les locaux physiques équipés de ce système d'interphone d'ascenseur intégré présentent un risque accru d'accès physique non autorisé aux étages restreints du bâtiment.

Recommandation

Il est recommandé que le système d'interphone d'ascenseur intégré valide la source des tonalités DTMF, en l'occurrence les touches DTMF '1' et '#'. Il doit différencier et ne permettre l'autorisation que depuis le dispositif du propriétaire de l'unité d'appartement plutôt que depuis le haut-parleur-micro du système.

Informations complémentaires

Avertissement

Toutes les activités menées sur les actifs relevaient de la juridiction du propriétaire de l'unité et avec l'autorisation préalable de ce dernier.

Calendrier de divulgation