Problemas de segurança no controle de acesso RFID Anviz M3

Foram encontrados problemas de segurança no dispositivo de controle de acesso RFID Anviz M3 quando operando em modo autônomo conectado a uma rede TCP/IP, que podem levar à bypass do controle de acesso e vazamento e alteração de informações privadas.

Informações do aviso

TÍTULO: Problemas de segurança no controle de acesso RFID Anviz M3

URL DO AVISO: https://github.com/wizlab-it/anviz-m3-rfid-cve-2019-11523-poc/

DATA DE PUBLICAÇÃO: 2019/05/22

FORNECEDORES AFETADOS: Anviz

PRODUTO AFETADO: Controle de acesso RFID Anviz M3 para exterior (https://www.anviz.com/product/69.html)

CVE: CVE-2019-11523

Descrição do produto

Do site do fornecedor:

O M3 é um dispositivo de controle de acesso compacto com caixa metálica, design à prova d'água IP65, adequado para aplicações externas. É compatível com os padrões de cartão sem contato ISO14443, suporta cartão mifare de 13,56MHZ e cartão EM de 125KHZ. O teclado retroiluminado por toque, suporta comunicação TCP/IP e RS485, conveniente para os clientes usarem. O M3 possui relé embutido para trava direta e saída wiegand padrão, podendo funcionar como controle de acesso autônomo e leitor RFID tudo em um.

Os dispositivos M3 armazenam internamente informações sobre os crachás RFID e/ou códigos de acesso dos utilizadores e concedem acesso se um crachá RFID válido for apresentado ou um código de acesso válido for inserido.

O dispositivo M3 pode ser gerenciado usando o software CrossChex. Pode ser conectado ao PC via cabo USB ou cabo Ethernet em uma rede TCP/IP privada/pública para gerenciamento e monitoramento remoto.

Detalhes das vulnerabilidades

Foram encontrados problemas de segurança quando o dispositivo M3 está conectado a uma rede TCP/IP.

O protocolo de comunicação não possui autenticação ou criptografia. Abrir uma conexão no dispositivo permite que o atacante envie qualquer comando e recupere/altere qualquer informação da/na memória interna.

Lista das principais ações:

• enviar o comando "abrir porta"
• recuperar lista de utilizadores (inclui RFID e código de acesso em texto plano)
• recuperar e alterar utilizadores na memória local (mostrar, adicionar, editar, excluir)
• recuperar e alterar registros de acesso

Os mesmos tipos de ações podem ser executados tanto de uma rede local (privada) quanto remota (pública, internet).

Um script Python de PoC foi lançado para descrever as vulnerabilidades encontradas. O script também permite escanear a rede local à procura de dispositivos Anviz (correspondência de endereço MAC).

Cronograma de divulgação

• 2019/04/10 - Vulnerabilidades encontradas
• 2019/04/10 - Relatório para a Anviz (e-mail enviado para o endereço de suporte)
• 2019/04/18 - A Anviz confirmou o recebimento do relatório
• 2019/04/19 - A Anviz solicitou mais informações sobre a versão do dispositivo M3 em uso e forneceu algumas possíveis soluções alternativas para o problema
• 2019/04/19 - Relatório para a Anviz informando que as soluções alternativas são ineficazes
• 2019/04/23 - A Anviz confirmou que o M3 Pro substituirá o dispositivo M3
• 2019/04/25 - Recebido um CVE da Mitre (CVE-2019-11523)
• 2019/04/29 - A Anviz confirmou que corrigiu os bugs nos dispositivos M3pro
• 2019/05/08 - A Anviz lançou o dispositivo M3 Pro
• 2019/05/20 - Acordo sobre a data de divulgação pública do CVE-2019-11523
• 2019/05/22 - Divulgação pública

Solução

A Anviz afirmou que os bugs foram corrigidos no dispositivo M3 Pro (https://www.anviz.com/product/119.html).

O M3 Pro não foi testado aqui.

Mitigação

Uma mitigação é manter o dispositivo M3 desconectado de uma rede TCP/IP, perdendo todas as funcionalidades de monitoramento e gerenciamento remoto via TCP/IP.

Protocolos alternativos

O dispositivo M3 também suporta o protocolo Wiegand e RS485: estes não foram testados aqui.

Créditos

WizLab.it

Referências

Página do produto: https://www.anviz.com/product/69.html

PoC: https://github.com/wizlab-it/anviz-m3-rfid-cve-2019-11523-poc/

WizLab.it: https://www.wizlab.it