Varias vulnerabilidades de día cero descubiertas por Tenable Research en tecnología de acceso a edificios.
Tenable®, Inc., la compañía Cyber Exposure, anunció hoy que Tenable Research ha descubierto varias vulnerabilidades de día cero en el sistema de control de acceso PremiSys ™ desarrollado por IDenticard. Cuando se explota, la vulnerabilidad más grave daría al atacante acceso sin restricciones a la base de datos del sistema de credenciales, lo que le permitiría ingresar de manera encubierta a los edificios creando credenciales fraudulentas y desactivando las cerraduras de los edificios. Según su sitio web, IDenticard tiene decenas de miles de clientes en todo el mundo, incluidas empresas Fortune 500, escuelas K-12, universidades, centros médicos y agencias gubernamentales.
La empresa moderna de hoy tiene una infraestructura digital extremadamente compleja compuesta por activos tradicionales y modernos, desde estaciones de trabajo y servidores locales hasta sistemas de seguridad de construcción y dispositivos inteligentes. Este nivel de complejidad ha hecho que sea cada vez más difícil para los equipos de seguridad establecer redes seguras en entornos empresariales dinámicos. Los días cero de PremiSys son un claro recordatorio de que la adopción masiva de tecnologías emergentes ha borrado rápidamente las líneas entre la seguridad física y la digital. Este descubrimiento se produce solo unos meses después de que Tenable Research encontrara otra falla de día cero, denominada Peekaboo, en el software de videovigilancia global.
La tecnología PremiSys permite a los clientes otorgar y restringir el acceso a las puertas, cerrar las instalaciones y ver videos integrados. Una vez explotada, la falla más grave daría a los ciberdelincuentes acceso de administrador a toda la base de datos del sistema de credenciales a través del punto final de servicio PremiSys Windows Communication Foundation (WCF). Usando los privilegios de administrador, los atacantes pueden realizar una variedad de acciones como descargar el contenido completo de la base de datos del sistema, modificar su contenido o eliminar usuarios.
“La era digital ha unido los mundos cibernético y físico gracias, en parte, a la adopción de IoT. El ámbito de la seguridad de una organización ya no está limitado por un firewall, subredes o perímetro físico, ahora no tiene fronteras. Esto hace que sea de vital importancia para los equipos de seguridad tener una visibilidad completa de dónde están expuestos y en qué medida ”, dijo Renaud Deraison, cofundador y director de tecnología de Tenable. “Desafortunadamente, muchos fabricantes en el nuevo mundo de IoT no siempre comprenden los riesgos del software sin parches, lo que deja a los consumidores y las empresas vulnerables a un ciberataque. En este caso, las organizaciones que utilizan PremiSys para el control de acceso corren un gran riesgo ya que los parches no están disponibles. Más allá de este problema en particular, la industria de la seguridad necesita tener un diálogo más amplio sobre los sistemas integrados y su mantenibilidad a lo largo del tiempo. La complejidad de la infraestructura digital está aumentando, al igual que su mantenimiento. Necesitamos que los proveedores se comprometan a entregar parches de seguridad de manera oportuna y completamente automatizada. Tenable Research se compromete a cooperar con proveedores dispuestos en divulgaciones coordinadas para ayudar a garantizar que tanto los consumidores como las organizaciones estén seguros. La colaboración de la industria es clave para ayudar a los clientes a administrar, medir y reducir su exposición «.
Tenable Research reveló las vulnerabilidades (CVE-2019-3906, CVE-2019-3907, CVE-2019-3908, CVE-2019-3909), que afectan la versión 3.1.190, a IDenticard siguiendo los procedimientos estándar descritos en su política de divulgación de vulnerabilidades. El equipo hizo varios intentos para comunicarse con el proveedor. El 19 de noviembre, Tenable informó al CERT de la vulnerabilidad. Para reducir el riesgo de compromiso, los usuarios deben segmentar su red para garantizar que los sistemas como PremiSys estén aislados de las amenazas internas y externas tanto como sea posible.
Para obtener más información, lea la publicación del blog Tenable Research Advisory.
Sobre Tenable
Tenable®, Inc. es la empresa Cyber Exposure. Más de 24.000 organizaciones de todo el mundo confían en Tenable para comprender y reducir el riesgo cibernético. Como creador de Nessus®, Tenable amplió su experiencia en vulnerabilidades para ofrecer Tenable.io®, la primera plataforma del mundo para ver y proteger cualquier activo digital en cualquier plataforma informática. Los clientes de Tenable incluyen más del 50 por ciento de Fortune 500, más del 25 por ciento de Global 2000 y grandes agencias gubernamentales. Obtenga más información en tenable.com.