新闻快讯
< >

迪堡Opteva系列ATM机曝两大严重漏洞:攻击者可提取现金

E安全7月29日讯 美国西雅图网络安全公司IOActive 7月26日发布重要安全公告,详述了迪堡(Diebold)Opteva ATM机中存在物理与认证绕过问题。

IOActive发现迪堡AFD平台Opteva ATM机存在两大漏洞,如果这两个漏洞被结合利用,可能会让未经授权的攻击者从ATM设备中提取现金。

迪堡Opteva系列ATM机曝两大严重漏洞:攻击者可提取现金-E安全

由于ATM机将安全系统与操作系统分开,攻击者必须组合利用这两大漏洞。部署AFD平台的Opteva 系列ATM机上层柜放的是操作系统,下层则为安全系统,且各自均具备独立的验证体系

研究人员首先得通过物理手段访问内部计算机,即在ATM扬声器孔插入金属杆,提起金属锁杆打开包含计算机的ATM上层柜,之后直接访问安全部分的AFD控制器。但他们仍需利用第二个漏洞才能提取现金。

为此,IOActive对AFD协议和固件进行了逆向工程改造。这样一来,研究人员便能解密认证协议,之后更无需正确的认证便能实现通信。简而言之,这两大漏洞允许攻击者冒充未经身份验证的用户,并访问安全系统。

由于这个过程不需要具备设备相关专业知识,IOActive总结称,只要设备未被修复,访问其中一台设备的攻击者能对控制器协议进行逆向工程,从而有效绕过认证并从其它设备提取现金。

大多数设备厂商对修复漏洞不太热衷

然而令人不安的是,IOActive尚不清楚漏洞是否被修复。IOActive 2016年2月向迪堡上报了该问题,但2017年1月仍未获得公开披露漏洞的许可。

2017年2月,也就是首次通知迪堡一年后,迪堡公司给予回复,并收到IOActive提供的跟踪日志。当IOActive跟进事情进展时,却最终被告知测试的系统非常老旧(2008/2009 年),系统未经更新。因此,IOActive提出重新测试最新固件的要求时,却被无视。

Diebold选择锲而不舍继续跟进,直到时隔18个月之后,也就是2017年7月26日,IOActive决定公开漏洞。目前尚不清楚设备是否已被修复,或较新版本的固件是否易遭受攻击。

IOActive发布的漏洞公告地址,请戳

相关阅读:

ATM攻击新浪潮——红外插入式伪造卡槽正式登场
[图]ATM机上那些丧心病狂的摄像头,一定要当心
黑客用U盘启动软件让印度ATM机吐钱,Windows XP再中招

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。