دسترسی آزاد به هزاران سیستم هشدار امنیتی هوشمند در پی یک اشکال ساده

به گزارش کارگروه امنیت خبرگزاری سایبربان، ونجلیس استیکاس، محقق امنیتی، می گوید که این آسیب‌پذیری را در سیستم اتصال ایمن ایتون (Eaton's SecureConnect)، یک سیستم مبتنی بر فضای ابری که به مشتریان اجازه می‌دهد از راه دور به سیستم‌های هشدار امنیتی خود از یک برنامه تلفن همراه دسترسی داشته و آن را مدیریت کنند، یافته است.
استیکاس می گوید این آسیب پذیری به هر کسی اجازه می دهد تا به عنوان یک کاربر جدید ثبت نام کند و آن حساب را به هر گروه دیگری از کاربران، از جمله یک گروه "ریشه" اختصاص دهد، که به تمام سیستم های هشدار هوشمند متصل به فضای ابری ایتون دسترسی دارد.
این آسیب‌پذیری به‌عنوان مرجع شی مستقیم ناامن (IDOR) شناخته می‌شود، دسته بندی از باگ‌های امنیتی که به دلیل کنترل‌های ضعیف یا فقدان دسترسی روی سرور، امکان دسترسی بدون بررسی به فایل‌ها، داده‌ها یا حساب‌های کاربری را می‌دهد.
استیکاس می گوید این اشکال با استفاده از ابزارهای من این د میدل (man-in-the-middle) (که در آن مهاجم به طور مخفیانه ارتباطات بین دو طرف را که معتقدند مستقیماً با یکدیگر در ارتباط هستند، منتقل می کند و احتمالاً تغییر می دهد، زیرا مهاجم خود را بین دو طرف قرار داده است)، مانند بروپ سوت (Burp Suite) با رهگیری شماره گروه کاربر جدید و تعویض آن با شماره گروه ریشه که به سادگی، تنها عدد "1" بود، کاری بسیار آسان است.
استیکاس می گوید که افزودن یک کاربر به گروه ریشه، باعث خواهد شد تا به همه چیز دسترسی پیدا کند، از جمله نام کاربر ثبت‌شده و آدرس ایمیل، و مکان هر سیستم هشدار امنیتی متصل.
استیکاس در ادامه می افزاید که این دسترسی می توانست به یک مهاجم بالقوه اجازه دهد تا از راه دور سیستم های هشدار امنیتی متصل به فضای ابری ایتون را کنترل کند؛ اگرچه که او این کار را انجام نداده است.
در یک اعلان امنیتی منتشر شده در وب سایت ایتون، این شرکت تأیید می کند که این اشکال را در مجوز دسترسی گروهی خود کشف کرده است.
جاناتان هارت، سخنگوی ایتون، می گوید که این آسیب‌پذیری در ماه می برطرف شده است.
هارت از بیان تعداد مشتریان زنگ هوشمند خودداری می کند، اگرچه که استیکاس می گوید که تعداد سیستم‌های هشدار هوشمند متصل ایتون، به ده‌ها هزار نفر می‌رسد.
ایتون از بیان اینکه آیا این آسیب‌پذیری اجازه کنترل از راه دور سیستم‌های هشدار امنیتی متصل را می‌دهد یا خیر، خودداری کرده است.
ایتون می گوید که این آسیب‌پذیری، تأیید شده که یک رویداد واحد است، اما نمی گوید که چگونه به این نتیجه رسیده است یا اینکه آیا شرکت از ابزارهای فنی مانند سیستم‌های ثبت گزارش برای تعیین اینکه آیا آسیب‌پذیری قبلاً کشف شده یا مورد سوء استفاده قرار گرفته است، استفاده نموده یا خیر.