Проблемы безопасности Anviz M3 RFID Access Control

В устройстве Anviz M3 RFID Access Control были обнаружены проблемы безопасности при работе в автономном режиме с подключением к сети TCP/IP, которые могут привести к обходу контроля доступа, а также к утечке и изменению личной информации.

Информация об уведомлении

НАЗВАНИЕ: Проблемы безопасности Anviz M3 RFID Access Control

ССЫЛКА НА УВЕДОМЛЕНИЕ: https://github.com/wizlab-it/anviz-m3-rfid-cve-2019-11523-poc/

ДАТА ПУБЛИКАЦИИ: 22.05.2019

ЗАТРОНУТЫЙ ПОСТАВЩИК: Anviz

ЗАТРОНУТЫЙ ПРОДУКТ: M3 Outdoor RFID Access Control (https://www.anviz.com/product/69.html)

CVE: CVE-2019-11523

Описание продукта

С сайта поставщика:

M3 — это компактное устройство контроля доступа с металлическим корпусом, водонепроницаемостью класса IP65, подходящее для наружного применения. Совместимо со стандартами бесконтактных карт ISO14443, поддерживает карты Mifare 13,56 МГц и EM-карты 125 КГц. Сенсорная клавиатура с подсветкой, поддержка TCP/IP и RS485 для удобства использования. M3 оснащено встроенным реле для непосредственного управления замком и стандартным выходом Wiegand, может работать как автономное устройство контроля доступа и считыватель RFID в одном корпусе.

Устройства M3 хранят внутреннюю информацию о метках RFID и/или кодах доступа пользователей и предоставляют доступ при предъявлении действительной метки RFID или вводе правильного кода доступа.

Устройством M3 можно управлять с помощью программного обеспечения CrossChex. Оно может подключаться к ПК через USB-кабель или кабель Ethernet в частной/общедоступной сети TCP/IP для удаленного управления и мониторинга.

Подробности об уязвимостях

Проблемы безопасности были обнаружены при подключении устройства M3 к сети TCP/IP.

Протокол связи не использует аутентификацию или шифрование. Открытие соединения с устройством позволяет злоумышленнику отправлять любые команды и получать/изменять любую информацию из/во внутренней памяти.

Список основных действий:

• отправка команды «open door»
• получение списка пользователей (включая RFID-метки и коды доступа в открытом виде)
• получение и изменение пользователей в локальной памяти (просмотр, добавление, редактирование, удаление)
• получение и изменение записей о доступе

Подобные действия могут выполняться как из локальной (частной), так и из удаленной (публичной, Интернет) сети.

Для описания найденных уязвимостей был опубликован PoC-скрипт на Python. Этот скрипт также позволяет сканировать локальную сеть в поиске устройств Anviz (по совпадению MAC-адресов).

График раскрытия

• 10.04.2019 — Найдены уязвимости
• 10.04.2019 — Сообщение в Anviz (электронное письмо отправлено на адрес поддержки)
• 18.04.2019 — Anviz подтвердил получение отчета
• 19.04.2019 — Anviz запросил дополнительную информацию о версии используемого устройства M3 и предоставил возможные обходные пути решения проблемы
• 19.04.2019 — Сообщение в Anviz о неэффективности обходных путей
• 23.04.2019 — Anviz подтвердил, что M3 Pro заменит устройство M3
• 25.04.2019 — Получен CVE от Mitre (CVE-2019-11523)
• 29.04.2019 — Anviz подтвердил устранение ошибок в устройствах M3 Pro
• 08.05.2019 — Anviz выпустил устройство M3 Pro
• 20.05.2019 — Согласована дата публичного раскрытия CVE-2019-11523
• 22.05.2019 — Публичное раскрытие

Решение

Anviz сообщил, что ошибки устранены в устройстве M3 Pro (https://www.anviz.com/product/119.html).

M3 Pro здесь не тестировалось.

Меры по смягчению

Мера по смягчению — держать устройство M3 отключенным от сети TCP/IP, что приводит к потере всех функций удаленного мониторинга и управления через TCP/IP.

Альтернативные протоколы

Устройство M3 также поддерживает протокол Wiegand и RS485: они здесь не тестировались.

Благодарности

WizLab.it

Ссылки

Страница продукта: https://www.anviz.com/product/69.html

PoC: https://github.com/wizlab-it/anviz-m3-rfid-cve-2019-11523-poc/

WizLab.it: https://www.wizlab.it