Các nhà nghiên cứu từ vpnMentor khả năng truy cập mở vào cơ sở dữ liệu, nơi lưu trữ hơn 27.8 triệu bản ghi (23 GB dữ liệu) liên quan đến hoạt động của hệ thống kiểm soát truy cập sinh trắc học , có khoảng 1.5 triệu lượt cài đặt trên toàn thế giới và được tích hợp vào nền tảng AEOS, được sử dụng bởi hơn 5700 tổ chức ở 83 quốc gia, bao gồm các tập đoàn và ngân hàng lớn, cũng như các cơ quan chính phủ và sở cảnh sát. Sự cố rò rỉ xảy ra do cấu hình bộ lưu trữ Elaticsearch không chính xác, hóa ra bất kỳ ai cũng có thể đọc được.
Vụ rò rỉ trở nên trầm trọng hơn do hầu hết cơ sở dữ liệu không được mã hóa và ngoài dữ liệu cá nhân (tên, điện thoại, email, địa chỉ nhà, chức vụ, thời gian thuê, v.v.), nhật ký truy cập của người dùng hệ thống, mật khẩu mở ( không băm) và dữ liệu thiết bị di động, bao gồm ảnh khuôn mặt và hình ảnh dấu vân tay được sử dụng để nhận dạng sinh trắc học người dùng.
Tổng cộng, cơ sở dữ liệu đã xác định được hơn một triệu lần quét dấu vân tay ban đầu liên quan đến những người cụ thể. Sự hiện diện của hình ảnh mở của dấu vân tay không thể thay đổi khiến kẻ tấn công có thể giả mạo dấu vân tay bằng cách sử dụng mẫu và sử dụng nó để vượt qua hệ thống kiểm soát truy cập hoặc để lại dấu vết sai. Người ta đặc biệt chú ý đến chất lượng của mật khẩu, trong số đó có rất nhiều mật khẩu tầm thường, chẳng hạn như “Mật khẩu” và “abcd1234”.
Hơn nữa, vì cơ sở dữ liệu cũng bao gồm thông tin xác thực của quản trị viên BioStar 2 nên trong trường hợp bị tấn công, kẻ tấn công có thể có toàn quyền truy cập vào giao diện web của hệ thống và sử dụng nó để thêm, chỉnh sửa và xóa bản ghi. Ví dụ: họ có thể thay thế dữ liệu dấu vân tay để có quyền truy cập vật lý, thay đổi quyền truy cập và xóa dấu vết xâm nhập khỏi nhật ký.
Đáng chú ý là vấn đề đã được xác định vào ngày 5 tháng 2, nhưng sau đó đã mất vài ngày để truyền tải thông tin đến những người tạo ra BioStar 7, những người không muốn nghe lời các nhà nghiên cứu. Cuối cùng, đến ngày 13/XNUMX, thông tin đã được thông báo tới hãng nhưng đến ngày XNUMX/XNUMX sự cố mới được giải quyết. Các nhà nghiên cứu xác định cơ sở dữ liệu là một phần của dự án quét mạng và phân tích các dịch vụ web có sẵn. Không rõ cơ sở dữ liệu vẫn nằm trong phạm vi công cộng bao lâu và liệu những kẻ tấn công có biết về sự tồn tại của nó hay không.
Nguồn: opennet.ru