Fermax 엘리베이터 인터콤 시스템에서 DTMF 톤을 이용한 물리적 접근 허가 (CVE-2017-16778)

특별 언급

가장 먼저, 성공적인 촬영을 위해 데모 세트를 도와준 @dizijoyjoy에게 감사드립니다.
자사 제품의 보안 버그 신고에 신속히 대응해 주신 Fermax에 특별히 감사드립니다. 그들은 긴밀히 소통하고 협력하며 수정 및 패치 활동에 대한 업데이트를 지속적으로 제공했습니다. 즐거운 협업에 감사드립니다!

간단한 설명

Fermax 인터콤 시스템 제품이 DTMF(이중 톤 다중 주파수) 톤을 통한 인증 우회 공격에 취약한 것으로 확인되었습니다. 이러한 우회는 공격자가 세대주 동의나 승인 없이 주거층에 무단 접근할 수 있게 합니다. 해당 인터콤이 엘리베이터와 통합된 경우 모든 제한된 층에 접근할 가능성이 있습니다. Fermax는 이후 영향을 받은 제품군에 대해 이를 해결했습니다.

세부 사항

Fermax 제품군에 속하는 야외 패널, 특히 엘리베이터 시스템과 통합되도록 맞춤화된 Fermax 야외 패널이 DTMF 톤 가장을 통한 인증 우회 공격에 취약한 것으로 관찰되었습니다. 설계상, 통합 엘리베이터 인터콤 시스템은 건물의 다양한 유닛 번호(예: #03-010)를 소유자의 유선전화나 휴대전화 번호에 할당하도록 구성됩니다. 방문객이 지하 1층이나 1층과 같은 공공 접근 가능 층에 도착하면, 방문객은 유닛 번호를 입력하고 '벨' 아이콘을 눌러 소유자에게 연락합니다. 소유자가 전화를 받아 방문객이 해당 유닛 층에 접근하도록 허용하려면, 소유자는 자신의 통신 장치(예: 모바일 기기)에서 '1'과 '#'을 눌러 '접근 허가'를 트리거할 수 있습니다. 그러면 인터콤이 엘리베이터를 방문객이 있는 층으로 호출하고, 방문객에게 해당 층 접근 권한을 부여합니다. Standard Use Case 일반적인 상황에서 사용자는 접근 카드를 스캔하거나 위에서 언급한 인터콤 시스템을 통해 접근 권한을 얻어야만 특정 층에 접근할 수 있습니다. 그러나 이 메커니즘은 인터콤 시스템을 통해 '1'을 나타내는 큰 DTMF 톤과 긴 '#' 음을 재생함으로써 우회될 수 있는 것으로 관찰되었습니다. 결과적으로, 휴대폰이나 블루투스 스피커와 같은 소리 재생 장치를 가진 공격자는 '1'과 긴 '#' 음을 재생하여 인터콤에서 '접근 허가'를 실행할 수 있으며, 피해자의 층에 무단 물리적 접근을 얻을 수 있습니다. 이 경우 피해자는 인터콤 시스템에 입력된 유닛 번호의 소유자입니다. Attack Use Case

개념 증명 데모

데모를 보려면 아래 이미지를 클릭하여 YouTube 동영상으로 리디렉션하세요:

죄송합니다. YouTube에서 여기에 동영상 포함을 허용하지 않습니다.

POC 데모 FAQ

Q1. 처음 3번은 실패하고 4번째에만 성공한 이유는 무엇인가요?

답변: 처음 3번은 사서함 자동 음성 위에 DTMF를 재생했습니다. 신호 대 잡음비가 인터콤이 인식하기에 충분하지 않았습니다. 이는 배경에서 시끄러운 소리가 재생 중일 때 Google Home이나 Alexa가 듣기 어려운 것과 유사합니다. 잡음은 통화 중 신호, 부재중 신호, 음성 메일 메시지 등 다양할 수 있습니다. 해결하려면 DTMF 톤 재생 볼륨을 높이세요.

Q2. 인터콤의 다이얼 패드를 사용하면 안 되는 이유는 무엇인가요?

답변: 다이얼 패드는 실시간 DTMF 톤을 생성하지 않습니다. '벨' (기호) 버튼을 누르고 입력한 유닛 번호에 할당된 번호로만 전화를 걸 때만 생성합니다. 또한 스피커-수신기가 이미 활성화된 상태에서는 작동하지 않습니다.

영향을 받는 제품

Fermax Outdoor Panel - FER-VCP-NNN (예: FER-VCP-100)

공격 벡터

보조 오디오 재생 장치(예: 전화 또는 블루투스 스피커)를 사용하여 오디오 스피커-수신기 구성 요소를 통해 전달되는 DTMF 톤.

발견 재현 단계

인터콤에서 유닛 번호를 누릅니다. 소유자가 전화를 받을 때까지 기다리거나, 소유자가 전화를 거절할 때까지 기다립니다.
스피커가 활성화된 상태에서 DTMF 톤을 재생합니다: 1 (짧게) 및 # (길게).
인터콤 대화형 패널에 "Connected >>>>>>>>>>>>>>"가 표시되고 엘리베이터 버튼의 LED가 켜지는 것을 확인합니다.
엘리베이터에 탑승하여 해당 유닛의 층을 누릅니다 (예: 0301 + [벨]을 누른 경우 3층을 선택해야 합니다). 인터콤을 통해 보안 메커니즘을 성공적으로 우회했음을 확인할 수 있습니다.

영향

이 통합 엘리베이터 인터콤 시스템이 설치된 물리적 건물은 건물 제한 구역에 대한 무단 물리적 접근 위험이 증가합니다.

권장 사항

통합 엘리베이터 인터콤 시스템이 DTMF 톤의 소스를 검증하는 것이 좋습니다. 이 경우 DTMF 톤 '1' 및 '#' 키입니다. 시스템의 오디오 스피커-수신기에서가 아니라 아파트 유닛 소유자의 장치에서만 인증을 수행하도록 구분해야 합니다.

추가 정보

면책 조항

자산에 대해 수행된 모든 활동은 유닛 소유자의 관할 하에 있으며 사전 승인을 받았습니다.

2017-09-20	취약점 발견 및 문서화. <비공개>에 취약점 세부 정보 및 특정 공격 벡터 보고.
2017-09-28	Fermax가 인정하고 엔지니어가 취약점 확인.
2017-09-28	추가 공격 벡터에 대한 추가 정보 공유.
2017-10-27	Fermax가 패치 솔루션이 수립되었고 모든 영향을 받은 프로젝트에 적용될 것이라고 응답.
2017-11-10	패치 완료 예상 일정 요청.
2017-11-11	Mitre.org에서 CVE ID 발급.
2017-12-21	인터콤 패치 시작. Fermax가 현장 기술자 배치가 필요하여 패치 기간 연장 요청.
2018-12-03	Fermax로부터 모든 영향을 받은 엘리베이터 인터콤 시스템이 패치되었음을 확인. Fermax가 보안 권고 발표를 승인.
2019-MM-DD	승인 완료.
2019-12-20	보안 권고 게시와 함께 조정된 공개.

인기

CVE-2017-16778-Intercom-DTMF-Injection

인기