Lỗ hổng thiết bị đầu cuối PAX PoS có thể cho phép kẻ tấn công giả mạo các giao dịch

Lỗ hổng thiết bị đầu cuối PAX PoS có thể cho phép kẻ tấn công giả mạo các giao dịch

Các thiết bị đầu cuối điểm bán hàng (PoS) của PAX Technology bị ảnh hưởng bởi một tập hợp các lỗ hổng có mức độ nghiêm trọng cao mà các tác nhân đe dọa có thể lợi dụng để thực thi mã tùy ý.

Lỗ hổng thiết bị đầu cuối PAX PoS có thể cho phép kẻ tấn công giả mạo các giao dịch

Nhóm R&D STM Cyber, nhóm đã thiết kế ngược các thiết bị chạy Android do công ty Trung Quốc sản xuất nhờ triển khai nhanh chóng ở Ba Lan, cho biết họ đã phát hiện ra nửa tá lỗ hổng cho phép leo thang đặc quyền và thực thi mã cục bộ từ bộ nạp khởi động.

Thông tin chi tiết về một trong các lỗ hổng (CVE-2023-42133) hiện chưa được giữ kín. Các sai sót khác được liệt kê dưới đây -

CVE-2023-42134 & CVE-2023-42135 (điểm CVSS: 7.6) - Thực thi mã cục bộ dưới quyền root thông qua việc chèn tham số kernel trong fastboot (Tác động đến PAX A920Pro/PAX A50)

CVE-2023-42136 (điểm CVSS: 8,8) - Tăng đặc quyền từ bất kỳ người dùng/ứng dụng nào tới người dùng hệ thống thông qua dịch vụ tiếp xúc với chất kết dính tiêm shell (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)

CVE-2023-42137 (điểm CVSS: 8,8) - Tăng đặc quyền từ người dùng hệ thống/shell lên root thông qua các hoạt động không an toàn trong daemon systool_server (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)

CVE-2023-4818 (điểm CVSS: 7.3) - Hạ cấp bộ nạp khởi động do mã thông báo không đúng (Tác động đến PAX A920)

Việc khai thác thành công các điểm yếu nói trên có thể cho phép kẻ tấn công nâng cao đặc quyền của chúng để root và vượt qua các biện pháp bảo vệ hộp cát, giành được quyền truy cập một cách hiệu quả để thực hiện bất kỳ hoạt động nào.

​Các nhà nghiên cứu bảo mật Adam Kliś và Hubert Jasudowicz cho biết điều này bao gồm việc can thiệp vào các hoạt động thanh toán để “sửa đổi dữ liệu mà ứng dụng người bán gửi đến [Bộ xử lý bảo mật], bao gồm số tiền giao dịch”.

Điều đáng nói là việc khai thác CVE-2023-42136 và CVE-2023-42137 yêu cầu kẻ tấn công phải có quyền truy cập shell vào thiết bị, trong khi ba lỗ hổng còn lại yêu cầu kẻ tấn công phải có quyền truy cập USB vật lý vào thiết bị.

Công ty thử nghiệm thâm nhập có trụ sở tại Warsaw cho biết họ đã tiết lộ các lỗ hổng cho PAX Technology một cách có trách nhiệm vào đầu tháng 5 năm 2023, sau đó các bản vá được phát hành vào tháng 11 năm 2023.

Hương – Theo TheHackerNews

Tin liên quan:

Standard Post with Image

Cổng bảo mật 2 bước MFA vẫn có thể bị tấn công bởi các chiêu thức này của tin tặc

Trong bài viết trước, Kaspersky Proguide đã đề cập 2 chiêu thức tinh vi mà tin tặc sử dụng. Hôm nay, hãy cùng khám phá 2 chiêu thức tiếp theo mà cổng...

Chi tiết
Standard Post with Image

4 chiêu thức tin tặc sử dụng kỹ thuật xã hội để vượt qua cổng bảo mật 2 bước MFA

Trong bài viết này, hãy cùng Kaspersky Proguide khám phá 4 chiêu thức ứng dụng kỹ thuật xã hội mà tin tặc hay sử dụng để vượt qua rào bảo mật MFA nhé!

Chi tiết
Standard Post with Image

Phần mềm độc hại Android MoqHao mới bị phát hiện với khả năng tự động thực thi

Các chuyên gia bảo mật vừa phát hiện được một biến thể mới của phần mềm độc hại Android có tên MoqHao, tự động thực thi trên các thiết bị bị nhiễm mà...

Chi tiết