یک اشکال ساده دسترسی به هزاران سیستم هشدار امنیتی هوشمند را در معرض دید قرار داد

ایتون، غول انرژی و الکترونیک ایالات متحده، یک آسیب پذیری امنیتی را برطرف کرده است که به یک محقق امنیتی اجازه می دهد از راه دور به هزاران سیستم هشدار امنیتی هوشمند دسترسی داشته باشد.

محقق امنیت ونجلیس استیکاس گفت که این آسیب‌پذیری را در Eaton's SecureConnect پیدا کرده است، یک سیستم مبتنی بر ابر که به مشتریان اجازه می‌دهد از راه دور به سیستم‌های هشدار امنیتی خود از یک برنامه تلفن دسترسی، مدیریت و مسلح و خلع سلاح کنند.

استیکاس گفت که این آسیب پذیری به هر کسی اجازه می دهد تا به عنوان یک کاربر جدید ثبت نام کند و آن حساب را به هر گروه دیگری از کاربران، از جمله یک گروه “ریشه”، که به تمام سیستم های هشدار هوشمند متصل به ابر Eaton دسترسی دارد، اختصاص دهد.

این آسیب‌پذیری به‌عنوان مرجع شی مستقیم ناامن یا IDOR شناخته می‌شود، کلاسی از باگ‌های امنیتی که به دلیل کنترل‌های ضعیف یا فقدان دسترسی روی سرور، امکان دسترسی بدون بررسی به فایل‌ها، داده‌ها یا حساب‌های کاربری را می‌دهد. استیکاس گفت این اشکال با استفاده از ابزارهای man-in-the-middle مانند Burp Suite با رهگیری شماره گروه کاربر جدید و تعویض آن با شماره گروه ریشه که به سادگی “1” بود، آسان است.

استیکاس گفت که افزودن یک کاربر به گروه ریشه «به همه چیز دسترسی پیدا می‌کند»، از جمله نام کاربر ثبت‌شده و آدرس ایمیل، و مکان هر سیستم هشدار امنیتی متصل. استیکاس گفت که این دسترسی می توانست به یک مهاجم بالقوه اجازه دهد تا از راه دور سیستم های هشدار امنیتی متصل به ابر ایتون را کنترل کند – اگرچه او این کار را انجام نداد.

در یک اعلان امنیتی منتشر شده در وب سایت خود، Eaton تأیید کرد که این اشکال در منطق مجوز دسترسی گروهی خود کشف شده است.

جاناتان هارت، سخنگوی ایتون، گفت که این آسیب‌پذیری در ماه می برطرف شد. هارت از بیان تعداد مشتریان زنگ هوشمند خودداری کرد، اگرچه استیکاس گفت که تعداد سیستم‌های هشدار هوشمند متصل Eaton به ده‌ها هزار نفر می‌رسد.

ایتون از بیان اینکه آیا این آسیب‌پذیری اجازه کنترل از راه دور سیستم‌های هشدار امنیتی متصل را می‌دهد، خودداری کرد. ایتون گفت که این آسیب‌پذیری «تأیید شده است که یک رویداد واحد است»، اما نگفت که چگونه به این نتیجه رسیده است یا اینکه آیا شرکت ابزارهای فنی مانند سیستم‌های ثبت گزارش برای تعیین اینکه آیا آسیب‌پذیری قبلاً کشف شده یا مورد سوء استفاده قرار گرفته است یا خیر.