Tenable Research entdeckt mehrere Zero-Day-Schwachstellen in Gebäudezugangstechnologie

Angreifer könnten ungepatchte Schwachstellen ausnutzen, um falsche Ausweise zu erzeugen oder Schlösser zu entsperren

Tenable™, das Cyber Exposure‑Unternehmen, gibt bekannt, dass das Tenable Research‑Team mehrere Zero‑Day‑Schwachstellen im PremiSys‑Zugangssystem von IDenticard entdeckt hat. Die schwerwiegendste der entdeckten Schwachstellen würde dem Angreifer uneingeschränkten Zugang zu Ausweis‑Datenbanken verschaffen. Damit wäre es möglich, falsche Ausweise auszustellen und unbemerkt Gebäude zu betreten. Zudem können Gebäudeschlösser ausgehebelt werden. Laut eigenen Angaben hat IDenticard zehntausende Kunden weltweit, darunter Fortune 500‑Unternehmen, K‑12‑Schulen, Universitäten, Krankenhäuser und staatliche Einrichtungen.

Heutige Unternehmen verfügen über eine extrem komplexe digitale Infrastruktur, die sich aus traditionellen und modernen Assets zusammensetzt: Von PCs und On‑Premise‑Servern über Sicherheitssysteme in Gebäuden bis zu Smart‑Devices. Das hohe Maß an Komplexität macht es für Sicherheitsteams zunehmend schwierig, in den dynamischen Unternehmensumgebungen sichere Netzwerke aufzubauen. Die Zero‑Days bei PremiSys veranschaulichen deutlich, dass neue Technologien die Grenzen zwischen physikalischer und digitaler Sicherheit zunehmend verwischen. Die neue Entdeckung kommt nur einige Monate nachdem Tenable Research eine Zero-Day-Schwachstelle namens „Peekaboo“ in weltweit eingesetzter Videoüberwachungs‑Software gefunden hat.

PremiSys‑Technologie erlaubt es den Nutzern, Zugang zu Türen zu gewähren bzw. zu entziehen, Gebäude abzuriegeln und integrierte Videos abzurufen. Einmal erfolgreich ausgenutzt, gibt die größte Schwachstelle den Angreifern über den PremiSys‑Service‑Endpoint Windows Communication Foundation (WCF) Administratorenrechte auf die gesamte Datenbank für Ausweise. Mit diesen Rechten könnten die Angreifer eine Reihe von Aktionen durchführen, etwa die gesamte Datenbank herunterladen, ihre Inhalte modifizieren oder Nutzer entfernen.

„Die digitale Ära hat dank IoT die physikalische und digitale Welt vernetzt. Das bedeutet für die Unternehmenssicherheit, dass sie nicht länger auf Firewalls, Subnets oder physische Vorgaben begrenzt ist – sie ist grenzenlos. Für Sicherheitsteams ist es deshalb entscheidend, umfassende Einblicke in ihre Exposure und deren Umfang zu haben“, kommentiert Renaud Deraison, Mitgründer und Chief Technology Officer, Tenable. „Leider verstehen viele Anbieter der IoT‑Welt nicht, wie riskant ungepatchte Software ist. Sie macht Kunden und Unternehmen gegenüber Cyberangriffen verwundbar. Im aktuellen Fall sind Unternehmen, die PremiSys nutzen, einem großem Risiko ausgesetzt, weil es keine Patches gibt. Ganz abgesehen von diesem konkreten Problem muss die Sicherheitsbranche einen umfassenderen Dialog über Embedded-Systeme und ihre langfristige Wartbarkeit führen. Digitale Infrastrukturen werden immer komplexer und das Gleiche gilt für ihre Wartung. Wir brauchen Anbieter, die sich dafür engagieren, Sicherheitspatches zeitnah und auf automatisierte Art und Weise bereitzustellen. Tenable Research hat es sich zur Aufgabe gemacht, mit bereitwilligen Anbietern an einer koordinierten Veröffentlichung von Schwachstellen zusammenzuarbeiten, um die Sicherheit von Anwendern und Unternehmen zu erhöhen. Zusammenarbeit in der Branche ist von entscheidender Wichtigkeit, um Kunden dabei zu helfen, ihre Gefährdung zu verwalten, zu messen und zu reduzieren.”

Tenable Research legte die Schwachstelle gegenüber IDenticard gemäß den Standardverfahren der Tenable Vulnerability Disclosure Policy offen. Die Schwachstellen (CVE-2019-3906, CVE-2019-3907, CVE-2019-3908, CVE-2019-3909) betreffen die Version 3.1.190. Das Tenable‑Team hat mehrere Versuche unternommen, den Anbieter zu kontaktieren. Am 19. November 2018 hat Tenable CERT über die Schwachstelle informiert. Anwender sollten ihr Netzwerk segmentieren, um sicherzustellen, dass Systeme wie PremiSys von internen wie externen Bedrohungen so gut wie möglich isoliert sind.

Mehr Informationen liefert der Tenable Research Advisory-Blogppost.

Über Tenable

Tenable®, Inc. ist das Cyber Exposure-Unternehmen. Weltweit vertrauen über 27.000 Organisationen auf Tenable, um Cyberrisiken zu verstehen und zu reduzieren. Als Erfinder von Nessus® hat Tenable seine Expertise zunehmend erweitert und stellt die weltweit erste Plattform bereit, mit der jedes digitale Asset auf jeder beliebigen Computing‑Plattform erkannt und gesichert werden kann. Der Kundenstamm von Tenable umfasst mehr als 50 Prozent der Fortune 500, über 25 Prozent der Global 2000 und große Regierungsstellen. Weitere Informationen finden Sie unter www.tenable.com.

Kontakt