admin 
Saugumo tyrėjas sako, kad numatytasis slaptažodis, išsiųstas į plačiai naudojamą durų prieigos valdymo sistemą, leidžia kiekvienam lengvai ir nuotoliniu būdu pasiekti durų spynos ir lifto valdiklius dešimtyse pastatų visoje JAV ir Kanadoje.
„Hirsch“, įmonė, kuriai dabar priklauso „Enterphone“ tinklo durų prieigos sistema, neištaisys pažeidžiamumo, sakydama, kad klaida yra pagal dizainą ir kad klientai turėjo vykdyti bendrovės sąrankos instrukcijas ir pakeisti numatytąjį slaptažodį.
Tai palieka dešimtis paveiktų gyvenamųjų ir biurų pastatų visoje Šiaurės Amerikoje, kurie dar nepakeitė savo prieigos kontrolės sistemos numatytąjį slaptažodį arba nežino, kad jie turėtų, pasak Erico Daigle'o, kuris rado dešimtis paveiktų pastatų.
Numatytieji slaptažodžiai nėra neįprasti ir nebūtinai paslaptis internete prijungtuose įrenginiuose; Slaptažodžiai, išsiųsti su produktais, paprastai yra suprojektuoti siekiant supaprastinti kliento prisijungimo prieigą ir dažnai randami jų instrukcijų vadove. Tačiau pasikliaukite klientu, kad pakeistumėte numatytąjį slaptažodį, kad bet kokia būsima kenksminga prieiga vis dar klasifikuotų kaip paties produkto saugumo pažeidžiamumą.
„Hirsch“ durų įvedimo produktų atveju sistema, įdiegę sistemą, nėra raginami arba reikalaujama pakeisti numatytąjį slaptažodį.
Iš esmės „Daigle“ buvo įskaitytas atradus saugos klaidą, oficialiai nurodytą kaip CVE-2025-26793.
Nėra suplanuotos pataisos
Numatytieji slaptažodžiai jau seniai kilo su internetu susijusių įrenginių problema, leidžianti kenkėjiškiems įsilaužėliams naudoti slaptažodžius, kad prisijungtų, tarsi jie būtų teisėti savininko ir pavogtų duomenis, arba užgrobti įrenginius, kad jie galėtų panaudoti savo pralaidumą, kad būtų galima paleisti kibernetines ataka. Pastaraisiais metais vyriausybės siekė panaikinti technologijų kūrėjus nuo nesaugių numatytųjų slaptažodžių, atsižvelgiant į jų keliamą saugumo riziką.
„Hirsch“ durų įvedimo sistemos atveju klaida įvertinama kaip 10 iš 10 pažeidžiamumo sunkumo skalėje, dėka to, kaip lengvai tai gali ją išnaudoti. Praktiškai kalbant, klaidos išnaudojimas yra taip paprastas, kaip paimti numatytąjį slaptažodį iš sistemos diegimo vadovo „Hirsch“ svetainėje ir prijungti slaptažodį prie bet kurios paveikto pastato sistemos prisijungimo puslapio internete.
Tinklaraščio įraše Daigle teigė, kad praėjusiais metais rado pažeidžiamumą, atradęs vieną iš „Hirsch“ sukurtų „Enterphone“ tinklų durų įėjimo plokščių pastatą savo gimtajame mieste Vankuveryje. „Daigle“ naudojo interneto nuskaitymo svetainę „Zoomeye“, norėdama ieškoti „Enterphone“ tinklo sistemų, kurios buvo prijungtos prie interneto, ir rado 71 sistemas, kurios vis dar rėmėsi numatytuosius kredencialus.
Daigle teigė, kad numatytasis slaptažodis suteikia prieigą prie „Mesh“ internetinės pagrindinės sistemos, kurią pastatų valdytojai naudoja norėdami valdyti prieigą prie liftų, bendrų sričių, biuro ir gyvenamųjų durų spynos. Kiekviena sistema rodo fizinį pastato adresą su įdiegta tinklo sistema, leidžiančia visiems prisijungti, kad žinotų, kuriame pastate jie turėjo prieigą.
Daigle teigė, kad per kelias minutes įmanoma efektyviai įsiveržti į bet kurią iš dešimčių paveiktų pastatų, nepritraukiant jokio dėmesio.
„TechCrunch“ įsikišo, nes „Hirsch“ neturi lėšų, tokių kaip pažeidžiamumo atskleidimo puslapis, pavyzdžiui, visuomenės nariams, tokiems kaip „Daigle“, pranešti apie bendrovės saugumo trūkumą.
„Hirsch“ generalinis direktorius Markas Allenas neatsakė į „TechCrunch“ prašymą komentuoti, o vietoj to atidėjo vyresniajam „Hirsch“ produktų vadybininkui, kuris „TechCrunch“ sakė, kad įmonės numatytųjų slaptažodžių naudojimas yra „pasenęs“ (nesakydamas, kaip). Produktų vadovas teigė, kad „taip pat rūpėjo“, kad yra klientų, kurie „įdiegė sistemas ir nesilaiko gamintojų rekomendacijų“, nurodydami paties Hirscho diegimo instrukcijas.
„Hirsch“ neprisiimtų viešai atskleisti informacijos apie klaidą, tačiau teigė, kad susisiekė su savo klientais dėl produkto instrukcijų vadovo.
Kai Hirschas nenori ištaisyti klaidos, kai kurie pastatai ir jų keleiviai greičiausiai liks eksponuojami. Klaida rodo, kad produktų kūrimo pasirinkimas iš vakarykščio gali sugrįžti, kad po metų būtų padaryta realaus pasaulio.
