Воспроизведение DTMF-тонов для предоставления физического доступа через лифтовую домофонную систему Fermax (CVE-2017-16778)

Особые упоминания

• Прежде всего, @dizijoyjoy за помощь в организации демо-сета для успешной съёмки.
• Особая благодарность Fermax за оперативный ответ на отчёт об уязвимости их продукта. Они поддерживали связь и тесно координировались, постоянно предоставляя информацию о ходе исправления и патча. Спасибо за приятное сотрудничество!

Краткое описание

Продукт домофонной системы Fermax оказался уязвимым для атаки обхода авторизации с использованием двухтональных многочастотных (DTMF) сигналов. Такой обход может позволить злоумышленнику получить несанкционированный доступ на жилой уровень без соответствующего разрешения или ведома владельца квартиры. Если домофон интегрирован с лифтом, возможно получение доступа ко всем ограниченным этажам. Компания Fermax с тех пор устранила эту уязвимость в затронутых линейках продуктов.

Подробности

Было обнаружено, что уличная панель из линейки продуктов Fermax, в частности уличная панель Fermax, настроенная для интеграции с лифтовыми системами, уязвима для атаки обхода авторизации с помощью имитации двухтональных многочастотных (DTMF) сигналов. По замыслу, интегрированная лифтовая домофонная система настроена на сопоставление различных номеров квартир здания (например, #03-010) с телефонными номерами владельцев, такими как стационарный или мобильный номер. Когда посетитель прибывает на общедоступный уровень, например, на подземный этаж 1 или первый этаж, он вводит номер квартиры и нажимает значок «звонок», чтобы связаться с владельцем. Если владелец снимает трубку и желает разрешить посетителю доступ на этаж квартиры, он может нажать «1» и «#» на своём телекоммуникационном устройстве (например, мобильном телефоне), чтобы активировать «предоставление доступа». Это заставит домофон вызвать лифт на уровень посетителя и предоставить ему доступ на этаж. В обычных условиях пользователь может получить доступ на этаж только после сканирования своей карты доступа или получения авторизации через вышеупомянутую домофонную систему. Однако было обнаружено, что этот механизм можно обойти, воспроизведя через домофонную систему громкий DTMF-тон, представляющий «1», и длинный сигнал «#». В результате злоумышленник с устройством воспроизведения звука, таким как мобильный телефон или Bluetooth-колонка, может воспроизвести тон «1» и длинный сигнал «#», чтобы выполнить «предоставление доступа» на домофоне, получив несанкционированный физический доступ на этаж жертвы. Жертвой в данном случае является владелец номера квартиры, который был введён в домофонную систему.

Демонстрация Proof of Concept

Чтобы посмотреть демо, нажмите на изображение ниже для перехода на видео на YouTube:

Извините, YouTube не позволяет встраивать видео сюда

Часто задаваемые вопросы по демо POC

В1. Почему первые 3 попытки не сработали, а сработала только 4-я?

Ответ: Первые 3 раза DTMF-сигнал воспроизводился поверх автоматического голоса почтового ящика. Отношение сигнал/шум было недостаточным для распознавания домофоном. Это похоже на ситуацию, когда Google Home или Alexa с трудом слышат вас при громком фоновом шуме. Шум может включать в себя тональные сигналы «линия занята», «вызов отклонён», сообщения голосовой почты и т.д. Чтобы это исправить, увеличьте громкость воспроизведения DTMF-тонов.

В2. Почему бы просто не использовать клавиатуру на домофоне?

Ответ: Клавиатура не генерирует DTMF-тоны в реальном времени. Она делает это только при нажатии кнопки «звонок» (символа) и наборе номера, присвоенного введённому номеру квартиры. Кроме того, она не работает, когда динамик-микрофон уже активен.

Подверженный продукт

Уличная панель Fermax - FER-VCP-NNN (например, FER-VCP-100)

Вектор атаки

DTMF-тоны, воспроизводимые через вторичное устройство воспроизведения звука (например, телефон или Bluetooth-колонку) и передаваемые через компонент аудиодинамика-микрофона.

Шаги для воспроизведения уязвимости

1. На домофоне наберите номер квартиры. Либо дождитесь, пока владелец снимет трубку, либо дождитесь, пока владелец отклонит вызов.
2. Пока динамик активирован, воспроизведите DTMF-тон: 1 (короткий) и # (длинный).
3. Обратите внимание, что на интерактивной панели домофона отображается "Connected >>>>>>>>>>>>>>", а светодиод кнопки лифта загорается.
4. Войдите в лифт и нажмите кнопку соответствующего этажа квартиры (например, если вы набрали 0301 + [БЕЛЛ], вам следует выбрать 3-й этаж). Вы должны убедиться, что успешно обошли механизм безопасности через домофон.

Воздействие

Помещение, оборудованное такой интегрированной лифтовой домофонной системой, подвергается повышенному риску несанкционированного физического доступа на ограниченные этажи здания.

Рекомендация

Рекомендуется, чтобы интегрированная лифтовая домофонная система проверяла источник DTMF-тонов, в данном случае клавиш «1» и «#». Она должна различать и разрешать авторизацию только с устройства владельца квартиры, а не с аудиодинамика-микрофона системы.

Дополнительная информация

Отказ от ответственности

Все действия, проведённые с активами, осуществлялись в пределах юрисдикции владельца квартиры и с его предварительного разрешения.

График раскрытия информации