PAX PoS Terminal Zafiyeti, Saldırganlara İşlemleri Bozmalarına İzin Verebilir

PAX Technology tarafından üretilen noktadan satış (PoS) terminalleri, tehdit aktörlerinin keyfi kod yürütmek için kullanabileceği bir dizi yüksek düzeyde güvenlik açığından etkilenmektedir.

STM Cyber R&D ekibi, Çinli şirketin hızlı bir şekilde Polonya'da dağıtılan Android tabanlı cihazlarını tersine mühendislik yaparak, bu cihazlarda ayrıcalık yükseltme ve önyükleyiciden yerel kod yürütme olanağı sağlayan altı açık bulduklarını belirtti.

Güvenlik
Açıklanmayan bir zafiyet hakkındaki detaylar (CVE-2023-42133) şu anda saklanmış durumda. Diğer açıklar aşağıda listelenmiştir 

• CVE-2023-42134 ve CVE-2023-42135 (CVSS puanı: 7.6) - fastboot'ta kernel parametre enjeksiyonu ile kök olarak yerel kod yürütme (PAX A920Pro/PAX A50 etkilenir)
• CVE-2023-42136 (CVSS puanı: 8.8) - shell enjeksiyonu binder-exposed servisi aracılığıyla herhangi bir kullanıcı/uygulamadan sistem kullanıcısına ayrıcalık yükseltme (Tüm Android tabanlı PAX PoS cihazları etkilenir)
• CVE-2023-42137 (CVSS puanı: 8.8) - insecure operations in systool_server daemon aracılığıyla sistem/shell kullanıcısından kök kullanıcıya ayrıcalık yükseltme (Tüm Android tabanlı PAX PoS cihazları etkilenir)
• CVE-2023-4818 (CVSS puanı: 7.3) - hatalı belirteçleme yoluyla önyükleyiciyi düşürme (PAX A920 etkilenir)

Yukarıda bahsedilen zafiyetlerin başarılı bir şekilde istismarı, saldırganın ayrıcalıklarını kök seviyesine yükseltmesine ve sandbox korumalarını atlamasına olanak tanıyabilir, böylece herhangi bir işlemi gerçekleştirmek için geniş erişim elde eder.

Cybersecurity
Bu, ödeme işlemlerine müdahale etmeyi içerir, "tüccar uygulamasının [Güvenli İşlemci]'ye gönderdiği veriyi değiştirmeyi içerir, bu da işlem tutarını içerir," güvenlik araştırmacıları Adam Kliś ve Hubert Jasudowicz ifade etti.

Bahsedilen zafiyetlerden CVE-2023-42136 ve CVE-2023-42137'nin istismarı için saldırganın cihazda shell erişimine sahip olması gerekmektedir, diğer üçü ise tehdit aktörünün cihaza fiziksel USB erişimine sahip olmasını gerektirir.

Varşova merkezli penetrasyon testi şirketi, zafiyetleri Mayıs 2023 başlarında PAX Technology'ye sorumlu bir şekilde bildirdiğini ve bu bildirimin ardından PAX Technology'nin Kasım 2023'te yamaları yayınladığını belirtti.

Etiket: #FinancialData #Vulnerability

Kategori: Vulnerability

Eklenme Tarihi: 17.01.2024