Новости партнеров

Positive Technologies: уязвимости в POS-терминалах Ingenico позволяли перехватить пинкод и данные для создания клона магнитной полосы карты

Эксперты Positive Technologies выявили опасные уязвимости в POS-терминалах Ingenico Telium 2. Эти ошибки позволяли получить полный контроль над терминалом, перехватить пинкод и данные для создания клона магнитной полосы карты, отправить в банк-эквайер запрос на списание произвольной суммы и осуществить другие атаки. Производитель выпустил обновления ПО для уязвимых устройств. Ingenico является мировым лидером в области POS-терминалов. Компания ежегодно производит более 9 миллионов POS-терминалов, а количество используемых устройств Ingenico для приема пластиковых карт превышает 32 миллиона по всему миру.
«Некоторые из обнаруженных уязвимостей могли эксплуатироваться удаленно. И хотя для использования большинства этих уязвимостей необходим физический доступ к терминалу, получить его не столь сложно, — отмечает эксперт по банковской безопасности Positive Technologies Тимур Юнусов. — Владельцем POS-терминала обычно является банк, однако доступ к устройству есть у достаточно широкого круга лиц — например, у сотрудников торговых организаций или сервисных компаний. Злоумышленник мог модифицировать терминал, воспользовавшись его уязвимостями, и атаковать клиентов торгового предприятия: отправлять произвольные команды авторизации в банки-эквайеры или, например, клонировать магнитную полосу карт для применения в регионах с менее жесткими требованиями к верификации банковских карт».
Для получения полного контроля над терминалом атакующему необходимо использовать всю цепочку уязвимостей. Наличие в уязвимых терминалах жестко заданных паролей (ошибки CVE-2018-17767 (оценка 5,1 балла по шкале CVSS v3.1) и CVE-2018-17771 (оценка 4,9)) позволяет злоумышленнику с физическим доступом попасть в специальное меню. Уязвимость CVE-2018-17765 (оценка 3,8) дает возможность активировать протокол TRACE и вывести консоль, в которой доступно использование ограниченного набора команд. Для развития атаки этот набор можно расширить с помощью уязвимостей CVE-2018-17772 (оценка 7,6). В свою очередь ошибки CVE-2018-17766 (оценка 2,4), CVE-2018-17768 (5,1) и CVE-2018-17774 (4,9) позволяют обойти ограничения чтения файлов по протоколу NTPT3 и считать необходимые для продолжения атаки бинарные файлы, а уязвимости переполнения буфера CVE-2018-17769 (оценка 4,9), CVE-2018-17770 (4,9) и CVE-2018-17773 (8,3) — получить максимальные привилегии в системе POS-терминала.
Уязвимые терминалы могут также использоваться для подбора неизвестной информации о пользовательских картах с помощью distributed guessing attack (распределенного перебора). При таких атаках неизвестное поле, например трехзначный код проверки подлинности карты CVV2, подбирается путем осуществления одновременных попыток оплаты в сотнях интернет-магазинах с различными значениями CVV2 до тех пор, пока злоумышленник не выяснит действительный трехзначный код карты.
Уязвимости были устранены в программном обеспечении Telium 2 SDK v9.32.03 patch N, которое необходимо установить на терминалы. Для получения и установки этого ПО надо связаться с производителем оборудования, своим банком или сервис-провайдером. Срок службы некоторых моделей подходит к концу, поэтому одним из способов устранения уязвимостей может быть запрос производителю, банку или сервис-провайдеру о замене оборудования на новые модели.
В исследовании участвовали эксперты Positive Technologies Дмитрий Скляров, Алексей Стенников, Владимир Кононович, Георгий Зайцев, Максим Кожевников 1.

  1. Алексей Стенников и Георгий Зайцев в настоящее время являются независимыми исследователями.
https://www.ptsecurity.com/ru-ru/about/news/positive-technologies-uyazvimosti-v-pos-terminalah-ingenico-pozvolyali-perekhvatit-pinkod-i-dannye-dlya-sozdaniya-klona-magnitnoj-polosy-karty/
Positive Technologies