freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

ScrutisWeb曝出严重漏洞,可远程控制全球ATM!
2023-08-15 10:56:10
所属地 上海

1692067603_64dae71302782432db6dd.png!small

2023年年初,Synack Red Team (SRT) 成员 Neil Graves、Jorian van den Hout 和 Malcolm Stagg 发现了CVE-2023-33871、CVE-2023-38257、CVE-2023-35763 和 CVE-2023-35189 漏洞 。

2023年7月,总部位于法国的软件公司 Iagona 在其 ScrutisWeb 网络应用程序的 2.1.38 版本中修补了这些漏洞。

一直以来,Synack 红队(SRT)全球安全研究人员经常会在 Synack 客户的基础架构和网络服务器中发现漏洞,在某些 Synack 目标上,SRT 成员可以相互协作,最大限度地发挥广泛的技能组合。

在最近与 Synack 客户的一次合作中,SRT 某团队发现了 ScrutisWeb 中存在的软件缺陷,ScrutisWeb 是一种用于监控银行和零售 ATM 机群的安全解决方案。

ScrutisWeb的开发商Iagona表示,ScrutisWeb可通过任何浏览器访问,帮助全球各组织监控自动取款机,并在出现问题时缩短响应时间。ATM 机群可包括支票存款机等敏感设备以及连锁餐厅的支付终端。

ScrutisWeb 具有一系列功能:

  • 重新启动或关闭一个终端或整个机群
  • 检索银行服务信息
  • 监控(ATM)银行卡读卡器
  • 发送和接收文件(至 ATM)
  • 远程修改数据(在自动取款机上)

目标枚举

Synack 客户在此次合作中有超过 1,000 个唯一 IP 地址需要评估。在初步侦查期间,安全研究人员注意到有一个网络服务器向访问者发送了一个超大的 23MB JavaScript 文件。该文件中包含一个允许客户端下载服务器 webroot 中完整路径的函数:

this.window.location.href = "/Download.aspx?folder=" + name;

安全研究人员发现,提供"/"的文件夹名称会导致 ScrutisWeb 压缩整个网络根,并将其作为下载文件发送到浏览器。于是他们按照设计的功能使用该功能下载了网络根目录。在检查 Download.aspx 时发现它调用了 "Scrutis.Front.dll "库,该库似乎负责处理大部分用户功能。

CVE-2023-33871: 绝对路径遍历

安全研究人员还注意到 "Download.aspx "的参数为 "文件 "或 "文件夹"。同时,他们还很快就找到了真正有趣的部分,即处理单个文件下载的字符串:

str = !path1.Contains(":") ? this.Server.MapPath(path1) : path1.Contains(":");

这段代码查看的是作为 URL 的 "file "参数传递给该方法的 "path1 "变量。如果参数中不包含冒号,网络服务器将返回与网络根相关的文件,例如,"https://example.com/Download.aspx?file=thisfile.txt "将下载位于 "https://example.com/thisfile.txt "的文件。但是,如果参数中包含冒号,网络服务器就会返回与系统相关的文件,例如 "https://www.example.com/Download.aspx?file=c:\file.txt" 将下载服务器上位于 "c:\file.txt "的文件。成功!我们可以从服务器上下载配置、日志和数据库。

CVE-2023-35189: 远程代码执行

安全研究人员进一步检查 Scrutis.Front.dll 后,发现了 AddFile() 方法。AddFile() 接受多部分表单 POST 请求,并将上传的文件存储到网络目录"/Files/telechar/"中。

这意味着未经身份验证的用户可以上传任何文件,然后通过网络浏览器再次查看。其中一个问题是,最终存放上传文件的目录已被配置为允许解释和执行上传的脚本。我们创建了一个运行简单命令 "ipconfig /all "的概念验证(poc.asp),并将其上传到服务器。随后,他们访问了 "https://[redacted]/poc.asp "网站,服务器执行了系统命令 "ipconfig /all "并返回了响应,成功命令注入。

通常,人们会认为 RCE 是漏洞利用链的高潮。在这种情况下,通过利用其余漏洞获取 ATM 控制器的用户访问权限,可以实现更大的恶意价值。可以在 Scrutis.Front.dll 中找到每个有漏洞的调用,并在未经身份验证的情况下使用。

CVE-2023-38257: 不安全的直接对象引用

安全研究人员发现 GetUserDetails 方法原型是将单个整数作为 HTTP POST 请求的输入。[HttpPost]public UIUser GetUserDetails([FromBody] int idUser)

同时, idUser 参数似乎是一个从数字 1 开始的连续整数值。通过向该函数发送数字为 1 的 POST,服务返回了用户 "administrateur "的信息,包括加密密码。

CVE-2023-35763 硬编码加密密钥

由于密码显然已加密,安全研究人员决定尝试逆向工程加密机制。在方法名称中搜索 "crypt "一词,显示了一个解密函数,该函数将密码文本作为输入,并返回一个明文 UTF8 字符串。该函数中有一行披露了明文字符串,该字符串被用作加密/解密用户密码的加密密钥:

public static string Decrypt(string cipherString, bool useHashing)

{

...

numArray = cryptoServiceProvider.ComputeHash(Encoding.UTF8.GetBytes("ENCRYPTIONKEY"));

...

return Encoding.UTF8.GetString(bytes);

}

安全研究人员编写了一个简单的 python 脚本,它可以获取使用 CVE-2023-38257 发现的加密密码,并将密码解密为明文。至此已经可以以管理员身份登录 ScrutisWeb了。

影响

CVE-2023-38257 和 CVE-2023-35763 这两个漏洞让以管理员身份登录 ScrutisWeb 管理控制台成为可能。恶意行为者可以监控机群中各个自动取款机的活动。控制台还允许将 ATM 降为管理模式、上传文件、重新启动和完全关闭。需要进行进一步检查,以确定是否可以将定制软件上载到个别自动取款机上,以执行银行卡外渗、Swift 转账重定向或其他恶意活动。不过,此类额外测试不在评估范围之内。

CVE-2023-35189 还可用于清除 ScrutisWeb 上的日志,并删除恶意行为者曾在那里活动的证据。从客户端基础架构中的这一立足点可能会发生额外的漏洞利用,使其成为恶意行为者面向互联网的支点。

修复漏洞:尽快更新至 ScrutisWeb 2.1.38 版本

值得一提的是,Iagona 非常重视安全问题,在及时向研究人员通报进展的同时,还迅速解决了四个发现的问题。


参考来源:Exploits Explained: Finding Flaws in an ATM Software Tool | Blog | Synack

# 安全漏洞 # 漏洞利用 # ATM安全
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录