Ariane Systems’in kiosk platformundaki bir yazılım güvenlik açığı, saldırganların, yazılımla donatılmış check-in terminalleri aracılığıyla otel misafirlerinin kişisel verilerine erişmesine olanak tanıyor.
Bir kiosk modu bypass hatası aracılığıyla (CVE-2024-37364Güvenlik açığını Mart ayında keşfeden Pentagrid güvenlik araştırmacısı Martin Schobert’e göre, CVSS 3.0 puan 6.8) kötü niyetli aktörler, yerel olarak depolanan rezervasyonlara ve faturalara ve ayrıca kişisel olarak tanımlanabilir bilgilere (PII) erişebilir.
Ariane Allegro Scenario Player’ı çalıştıran savunmasız terminaller, diğer otel odaları için oda anahtarları oluşturmak için de potansiyel olarak kullanılabilir, çünkü RFID aktarıcılarının anahtar kart olarak kullanılması özelliği check-in terminallerine de yüklenmiştir. bir blog yazısında uyardı Bu hafta.
Etki geniş kapsamlı olabilir: Ariane, web sitesinde “3.000’den fazla kurulumla otel endüstrisi için dünyanın önde gelen otomatik giriş ve çıkış çözümleri sağlayıcısı” olduğunu iddia ediyor.
Ariane Otel Giriş İstismarının Nasıl Çalıştığı
Yazılım, konukların otelde check-in yapmasına ve oda rezervasyonu yapmasına olanak tanır. Otel misafirleri, soyadlarını veya rezervasyon numaralarını girerek mevcut rezervasyonları aramak için bunu kullanabilirler.
Ancak isim ararken tek tırnak girilirse uygulama kilitleniyor.
Schobert, “Terminal ekranına tekrar dokunduğunuzda, Windows işletim sistemi kullanıcıya Windows’un daha fazla beklemesi mi yoksa görevi durdurması mı gerektiğini soracaktır” diye yazdı.
Çıkış aynı zamanda yazılımın kiosk modunu da sonlandırarak kullanıcıya kod yürütme yeteneğiyle birlikte sistemin Windows masaüstüne erişmesini ve orada saklanan veriler ve ağ.
“Program kodunu enjekte etme ve yürütme yeteneği sayesinde, diğer odalar için oda anahtarlarının oluşturulması mümkün görünüyor çünkü RFID aktarıcılarının provizyon işlevi terminalde uygulanıyor” diye devam etti.
Saldırganın saldırıyı gerçekleştirmek için check-in terminaline fiziksel erişime ihtiyacı olduğunu ve tehdit aktörünün hazırlığına bağlı olarak bunun terminalde biraz zaman alması gerektiğini belirtti. Bu, uygun fiziksel izlemeyle olayların önlenebileceği anlamına gelir.
Bambanek Consulting’in başkanı John Bambanek, bu kioskların her zaman antivirüs gözetimi ile kolayca görülebilen alanlarda bulunmasını tavsiye ediyor ve dokunmatik ekran dışındaki hiçbir şeye erişimin halkın erişimine kapalı olması gerektiğini söylüyor.
“Bu cihazlar muhtemelen ana otel ağından tamamen izole edilemez, çünkü amacın bir parçası da Anahtarları verin ve oda yönetimini yönetin,” diye belirtiyor. “Ancak, cihazlar yalnızca makineler ve bağlantı noktaları gerektiren gönderimlerle sınırlı olmalı ve diğer her şey filtrelenmelidir.”
Çoklu Konaklama Riskleri, Odalara Erişim
Viakoo’daki Viakoo Laboratuvarları’nın başkan yardımcısı John Gallagher, bir otel check-in terminalinde bulunan verilere yetkisiz erişimin sağlanmasının birçok riske yol açtığını söylüyor.
“Bunlar arasında birinin kalışıyla ilgili ayrıntıların bilinmesi, bir odanın dolu olup olmadığı, olası yanal hareket yer alıyor. Aynı ağdaki sistemlerve kiosk’a veri yakalama uygulamaları yerleştiriliyor” diye açıklıyor.
Kioska erişim aynı zamanda daha geniş otel ağına da erişim sağlayabilirse saldırgana çok daha fazla veri sağlayacağını ekliyor.
“En çok endişeleneceğim durum, birisinin otomatik check-in terminalini kullandığını görmem, ardından onu kullanırken takip etmem, Ariane uygulamasını çökertmem, son misafirin check-in bilgilerine erişmem, yeni bir giriş bilgisi yazdırmamdır. Gallagher, “RFID kartıyla o kişinin odasına erişebiliyorsunuz” diye açıklıyor.
Kiosk Yazılımını Güncelleyin, Erişimi Sınırlandırın
Ariane, Pentagrid’e, güvenlik açığının Allegro Scenario Player’ın yeni versiyonunda düzeltildiğini ve Schobert tarafından incelenen terminalin “eski bir sistem” olduğunu söyledi.
Ancak araştırmacıya göre üretici, sorunun yamalandığı tam sürümü açıklamadı.
Schobert’e göre araştırdığı sistem bir Ariane Duo 6000 serisi terminaldi. Ancak Critical Start’ın kıdemli tehdit tespit mühendisi Adam Neel, otel operatörlerinin, yazılım kusurunu tam olarak gidermek için tüm check-in terminallerinin Ariane Allegro Scenario Player’ın en son sürümünü çalıştırdığından emin olmaları gerektiğini söylüyor.
Bu arada Neel, genel olarak kuruluşların tüm Nesnelerin İnterneti (IoT) cihazlarının en son güvenlik güncellemeleriyle yamalandığından emin olması gerektiğini ve bunun da BT ekipleri için sıklıkla gözden kaçırılan bir alan olduğunu belirtiyor.
Düzenli yama uygulamasının ötesinde, “ağ izolasyonunun uygulanması terminalleri ayrı bir VLAN veya ağ segmentine yerleştirme Kritik sistemlerden gelen müdahaleler de çok önemlidir” diye ekliyor. “Ve son olarak, herhangi bir güvenlik ihlalinin hızlı bir şekilde ele alınması için bir olay müdahale planına sahip olmak çok önemlidir.”
