Dva studenta sa Univerziteta Santa Kruz otkrili su veliki sigurnosni propust u CSC ServiceWorks mašinama za pranje veša.
Preko milion internet povezanih mašina za pranje veša u kućama, hotelima i fakultetima širom svijeta je zahvaćeno bubom , što omogućava ljudima da ih pokreću besplatno.
Studenti koji su ga otkrili, Alexander Sherbrooke i Iakov Taranenko, prijavili su to ranije ove godine. Uprkos njihovim pokušajima, CSC ServiceWorks nije otklonio ranjivost, ostavljajući sistem ranjivim.
Trenutak ‘Eureke’ u podrumu
Otkriće se dogodilo početkom januara, kada je Sherbrooke sjedio na podu u svom wc u podrumu sa svojim laptopom.
Započeo je ciklus pranja veš bez finansija pokretanjem scenarija.
Mašina je odmah odgovorila, spremna da opere besplatnu količinu odjeće.
Studenti su pokazali slabost uspostavljanjem izmišljenog bilansa od nekoliko miliona dolara na jednom od svojih računa za pranje veša, što se činilo normalnim u mobilnoj aplikaciji CSC Go.
Ovo otkriva ozbiljnu grešku u API-ju mobilne aplikacije CSC-a, koji omogućava aplikacijama i uređajima da komuniciraju na mreži.
Nedostatak odgovora CSC ServiceWorksa
Nakon nekoliko telefonskih poziva i poruka na obrascu za kontakt, CSC je ignorisao pritužbe djece.
Također su kontaktirali CERT Koordinacijski centar Univerziteta Carnegie Mellon, koji pomaže prodavcima da prijave sigurnosne probleme.
Učenici su čekali više od tri mjeseca da objave svoje nalaze, misleći da će CSC to popraviti.
Nezakrpljena ranjivost se nastavlja. Ovog mjeseca, istraživači su predstavili svoja otkrića u svom univerzitetskom klubu za sajber sigurnost, ističući rizike povezivanja teških uređaja s internetom i ranjivosti na napade.
Prodavci tehnologije kao što je CSC moraju izvršiti sigurnosne provjere, rekli su Sherbrooke i Taranenko.
Aplikacija na korisnikovom mobilnom uređaju obavlja sigurnosne provjere kojima CSC serveri automatski vjeruju, shodno tome su otkrili da bi mogli navesti CSC servere da odobre promjene stanja računa.
Budući rizici i implikacije
Prema istraživačima, ova ranjivost može dovesti do pregrijavanja i požara ako se zanemare sigurnosna ograničenja.
Dugme za pokretanje mašine za pranje veša mora biti pritisnuto da bi se pokrenuo ciklus, iako se podešavanja mogu promijeniti na daljinu.
Greška je ostala neispravljena jer je CSC ServiceWorks diskretno izbrisao lažno stanje na računu istraživača nakon što su prijavili svoje nalaze.
Taranenko se pitao kako velika organizacija može napraviti takve greške i ne ponuditi način za prijavu sigurnosnih rizika.
Uprkos tišini, studenti nastavljaju istragu.
Taranenko je naglasio važnost istraživanja sigurnosti u stvarnom svijetu nudeći pomoć firmama koje se brinu o sigurnosti.
Budući da je ranjivost i dalje otvorena, istraživači se nadaju da će CSC ServiceWorks poduzeti hitne mjere da zaštiti svoje sisteme i spriječi eksploataciju .
Izvor: CyberSecurityNews
