Изтичане на 28 милиона записа, използвани в платформата за биометрична идентификация BioStar 2

Изследователи от vpnMentor разкри възможността за отворен достъп до базата данни, която съхранява повече от 27.8 милиона записа (23 GB данни), свързани с работата на биометричната система за контрол на достъпа Биостар 2, който има приблизително 1.5 милиона инсталации по целия свят и е интегриран в платформата AEOS, използвана от повече от 5700 организации в 83 държави, включително големи корпорации и банки, както и правителствени агенции и полицейски управления. Течът е причинен от неправилна конфигурация на хранилището на Elasticsearch, което се оказа четимо от всеки.

Изтичането се утежнява от факта, че по-голямата част от базата данни не е криптирана и в допълнение към личните данни (име, телефон, имейл, домашен адрес, длъжност, време на наемане и т.н.), регистрационни файлове за потребителски достъп до системата, отворени пароли ( без хеширане) и данни от мобилно устройство, включително снимки на лицето и изображения на пръстови отпечатъци, използвани за биометрична идентификация на потребителя.

Като цяло базата данни е идентифицирала повече от милион оригинални сканирания на пръстови отпечатъци, свързани с конкретни хора. Наличието на отворени изображения на пръстови отпечатъци, които не могат да бъдат променяни, дава възможност на нападателите да фалшифицират пръстов отпечатък с помощта на шаблон и да го използват, за да заобиколят системите за контрол на достъпа или да оставят фалшиви следи. Специално внимание се обръща на качеството на паролите, сред които има много тривиални, като „Парола“ и „abcd1234“.

Освен това, тъй като базата данни включва и идентификационни данни на администраторите на BioStar 2, в случай на атака, нападателите могат да получат пълен достъп до уеб интерфейса на системата и да го използват за добавяне, редактиране и изтриване на записи. Например, те биха могли да заменят данните за пръстови отпечатъци, за да получат физически достъп, да променят правата за достъп и да премахнат следите от проникване от регистрационните файлове.

Трябва да се отбележи, че проблемът беше идентифициран на 5 август, но след това няколко дни бяха прекарани в предаване на информация на създателите на BioStar 2, които не искаха да слушат изследователите. Накрая на 7 август информацията е съобщена на компанията, но проблемът е решен едва на 13 август. Изследователите идентифицираха базата данни като част от проект за сканиране на мрежи и анализ на наличните уеб услуги. Не е известно колко дълго базата данни е останала публично достояние и дали нападателите са знаели за нейното съществуване.

Източник: opennet.ru