Lỗ hổng thiết bị đầu cuối PAX PoS có thể cho phép kẻ tấn công giả mạo các giao dịch

Lỗ hổng thiết bị đầu cuối PAX PoS có thể cho phép kẻ tấn công giả mạo các giao dịch

Các thiết bị đầu cuối điểm bán hàng (PoS) của PAX Technology bị ảnh hưởng bởi một tập hợp các lỗ hổng có mức độ nghiêm trọng cao mà các tác nhân đe dọa có thể lợi dụng để thực thi mã tùy ý.

Nhóm R&D STM Cyber, nhóm đã thiết kế ngược các thiết bị chạy Android do công ty Trung Quốc sản xuất nhờ triển khai nhanh chóng ở Ba Lan, cho biết họ đã phát hiện ra nửa tá lỗ hổng cho phép leo thang đặc quyền và thực thi mã cục bộ từ bộ nạp khởi động.

Thông tin chi tiết về một trong các lỗ hổng (CVE-2023-42133) hiện chưa được giữ kín. Các sai sót khác được liệt kê dưới đây -

CVE-2023-42134 & CVE-2023-42135 (điểm CVSS: 7.6) - Thực thi mã cục bộ dưới quyền root thông qua việc chèn tham số kernel trong fastboot (Tác động đến PAX A920Pro/PAX A50)

CVE-2023-42136 (điểm CVSS: 8,8) - Tăng đặc quyền từ bất kỳ người dùng/ứng dụng nào tới người dùng hệ thống thông qua dịch vụ tiếp xúc với chất kết dính tiêm shell (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)

CVE-2023-42137 (điểm CVSS: 8,8) - Tăng đặc quyền từ người dùng hệ thống/shell lên root thông qua các hoạt động không an toàn trong daemon systool_server (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)

CVE-2023-4818 (điểm CVSS: 7.3) - Hạ cấp bộ nạp khởi động do mã thông báo không đúng (Tác động đến PAX A920)

Việc khai thác thành công các điểm yếu nói trên có thể cho phép kẻ tấn công nâng cao đặc quyền của chúng để root và vượt qua các biện pháp bảo vệ hộp cát, giành được quyền truy cập một cách hiệu quả để thực hiện bất kỳ hoạt động nào.

​Các nhà nghiên cứu bảo mật Adam Kliś và Hubert Jasudowicz cho biết điều này bao gồm việc can thiệp vào các hoạt động thanh toán để “sửa đổi dữ liệu mà ứng dụng người bán gửi đến [Bộ xử lý bảo mật], bao gồm số tiền giao dịch”.

Điều đáng nói là việc khai thác CVE-2023-42136 và CVE-2023-42137 yêu cầu kẻ tấn công phải có quyền truy cập shell vào thiết bị, trong khi ba lỗ hổng còn lại yêu cầu kẻ tấn công phải có quyền truy cập USB vật lý vào thiết bị.

Công ty thử nghiệm thâm nhập có trụ sở tại Warsaw cho biết họ đã tiết lộ các lỗ hổng cho PAX Technology một cách có trách nhiệm vào đầu tháng 5 năm 2023, sau đó các bản vá được phát hành vào tháng 11 năm 2023.

Hương – Theo TheHackerNews

​