PremiSys binosiga kirishni boshqarish tizimidagi zaifliklar boshqaruv funktsiyalarini o’chirib qo’yishga imkon beradi
Tizim ishlab chiqaruvchisi IDenticard tuzatish kiritish niyatida emas.
Tenable tadqiqotchilari IDenticard’ning PremiSys bino kirishini boshqarish karta tizimida tajovuzkorlarga uni buzib kirishga imkon beradigan toʻrtta zaiflikni aniqladilar. Tenable va US-CERT IDenticard’ga muammo haqida xabar berishdi, ammo sotuvchi barcha bildirishnomalarni eʼtiborsiz qoldirdi va xavfsizlik yangilanishlarini chiqarmadi. Natijada, tadqiqotchilar zaifliklar tafsilotlarini ommaga oshkor qilishga qaror qilishdi. Aniqlangan eng jiddiy zaiflik CVE-2019-3906 hisoblanadi. Tadqiqotchilar tushuntirganidek, PremiSys tizimida oʻzgarmas administrator maʼlumotlari (login IISAdminUsr va parol Badge1) mavjud. «Foydalanuvchilar ushbu maʼlumotlarni oʻzgartira olmaydilar. Yagona yechim – bu trafikni ushbu oxirgi nuqtaga cheklash, bu esa ilova mavjudligiga taʼsir qilishi yoki taʼsir qilmasligi mumkin», deb yozadilar tadqiqotchilar.
Agar PremiSys serverlari internetga ulangan bo’lsa, tajovuzkor karta boshqaruv tizimiga kirish uchun administrator ma’lumotlaridan foydalanishi va soxta karta taqdim etishi yoki boshqaruv funktsiyalarini butunlay o’chirib qo’yishi mumkin.
CVE-2019-3907 – Foydalanuvchi ma’lumotlari va boshqa maxfiy ma’lumotlar zaif shifrlash algoritmi (MD5 xeshi Base64 – tuz + parol bilan shifrlangan) yordamida shifrlangan.
CVE-2019-3908 – IDenticard zaxira nusxalari parol bilan himoyalangan ZIP faylida saqlanadi. Parol ID3nt1card.
CVE-2019-3909 – IDenticard xizmati standart ma’lumotlar bazasi hisob ma’lumotlari bilan o’rnatiladi (foydalanuvchi nomi: PremisysUsr, parol: ID3nt1card). Shuningdek, ID3nt1cardID3nt1card kabi uzunroq parollardan foydalanish bo’yicha ko’rsatmalar mavjud. Hisob ma’lumotlarini o’zgartirish uchun foydalanuvchilar o’zlarining konfiguratsiyasiga mos keladigan shifrlangan versiyani olish uchun sotuvchiga o’z parollarini yuborishlari kerak.
