0371-63319761
您的当前位置:主页 > 安全研究 > 太阳城娱乐 >

某国产智能门锁固件漏洞允许黑客开门

时间:2024-03-19

Aleph Research于3月7日发布的两篇博文显示,Sceiner固件中的多个漏洞允许攻击者操纵智能锁并打开门。Sceiner总部位于中国东部某市,是一家生产各种智能锁的科技公司,这些智能锁以其名义和其他品牌在全球范围内销售,Sceiner为其提供智能锁设计、固件和相关应用程序。以色列的Kontrol和Elock是销售Sceiner开发的智能锁品牌的两家公司。Aleph Research表示,由于Sceiner固件和相关应用程序中发现的问题,他们的产品容易受到攻击。智能锁中的漏洞意味着攻击者不仅可以在线访问,还可以直接开门赶往用户家里。卡耐基梅隆软件工程学院的CERT协调中心(CERT/CC)于3月7日发布了漏洞通报,并称受影响的供应商已于 2023 年 11 月收到通知,但尚未做出回应。
 

 
概述
 
Kontrol和Elock锁是使用Sciener提供的固件的电子锁。该固件与一个名为TTLock的应用程序协同工作,该应用程序也是由Sciener开发的。TTLock应用程序利用蓝牙连接来连接到使用Sciener固件的锁,并允许对锁进行操作。Sceiner固件锁还支持外设。同样由Sciener生产的GatewayG2允许通过TTLock应用程序通过WiFi连接到适当的锁。Sciener固件还允许无线键盘连接到支持的设备。
 
该智能锁具有优质的外观(以及相匹配的价格),提供许多功能(在分析研究的例子中,这些功能转化为许多攻击面):
通过智能手机应用程序(TTLock,适用于iOS和Android)进行控制。锁通过蓝牙LE (BLE) 与应用程序通信。
通过集成键盘锁定/解锁。
通过指纹识别器解锁。
使用RFID标签解锁。
通过特殊的网关设备通过互联网解锁。
通过指定按钮(位于门内侧)锁定/解锁。
多次解锁失败后发出声音报警。


此外,TTLock应用程序还提供以下(非详尽)功能列表:

向其他用户授予对锁的访问权限(虚拟钥匙)。

限制虚拟键的使用:

重复的时间范围(例如,让清洁人员进入公寓)
有限的时间范围(例如,让客人在住宿期间进入)
一次性使用(例如,让维护人员进入公寓)
记录锁的使用情况 -通过应用程序进行的每次锁定和解锁都会被记录。
锁的配置:添加指纹、RFID标签等。
 
分析表明,Kontrol和Elock锁容易通过Sciener固件受到攻击。TTLock App和GatewayG2中的漏洞可被进一步利用来损害相关电子锁的完整性。Elock锁容易受到Sciener固件的攻击,而Kontrol Lux锁(一种特定的锁型号)则具有独特的无线漏洞。其中许多漏洞是通过unlockKey字符造成的。当将unlockKey字符提供给适当的锁时,可用于解锁或锁定设备。
 
已发现的漏洞共有8个,编号为CVE-2023-7003至CVE-2023-7007、CVE-2023-7009、CVE-2023-7017 和 CVE-2023-6960)影响运行固件版本6.5.x至6.5的 Kontrol Lux设备。Gateway G2产品运行固件版本6.0.0,TTLock应用程序版本 6.4.5。
 
漏洞描述

这批发现的漏洞共有8个,将引发重复使用虚拟密钥,挑战暴力破解,明文消息处理,应用协议降级,网关密钥更换,无线键盘暴力破解,未经身份验证的更新和完全接管以及未受保护的调试端口这类问题。具体描述如下:

CVE-2023-7003
使用Sciener固件的锁与无线键盘之间的配对过程中使用的AES密钥不是唯一的,并且可以重复使用以危害使用Sciener固件的其他锁。该AES密钥可用于连接到任何其他支持无线键盘的Sciener锁,无需用户知情或交互。

CVE-2023-7004
TTLock应用程序未采用适当的验证程序来确保其与预期设备进行通信。威胁行为者可以利用这一点,引入一种欺骗锁的MAC地址的设备,从而破坏unlockKey值。

CVE-2023-7005
可以将特制的消息发送到TTLock应用程序,该消息会降级用于通信的加密协议,并可用于破坏锁,例如通过提供unlockKey字符。在质询请求过程中,如果消息以未加密的方式发送到锁,并且带有一组特定的信息,则包含unlockKey字符的相应消息将以未加密的方式提供。

CVE-2023-7006
使用Sciener固件的锁中的unlockKey字符可以通过重复的质询请求进行暴力破解,从而损害锁的完整性。质询请求发生在解锁过程中,并且包含0到65535之间的随机整数。质询请求可以不受任何限制地重复提示和响应,直到发现正确的整数。成功完成挑战请求将提供unlockKey字符。

CVE-2023-7007
Sciener服务器不验证来自GatewayG2的连接请求,从而允许冒充攻击。攻击者可以冒充已与锁建立连接的GatewayG2的MAC地址,然后连接到Sciener服务器并接收消息,而不是合法的GatewayG2。这可以方便unlockKey字符的访问。

CVE-2023-7009
Kontrol Lux锁支持通过低功耗蓝牙进行明文消息处理,允许将未加密的恶意命令传递到锁。这些长度小于16字节的恶意命令将由锁处理,就像它们是加密通信一样。攻击者可以进一步利用这一点来破坏锁的完整性。

CVE-2023-7017
如果通过蓝牙低功耗服务传递到锁,Kontrol Lux锁固件更新机制不会验证或验证固件更新。可以向锁发送质询请求以及准备更新的命令,而不是解锁请求。这使得蓝牙范围内的攻击者可以将任意恶意固件传递给锁,从而损害其完整性。

CVE-2023-6960
TTLock应用程序支持创建虚拟钥匙和设置。这些虚拟钥匙旨在通过TTLock应用程序分发给其他人,用于解锁和锁定锁。它们也可以设置为仅在特定时间段内有效。这些虚拟钥匙的删除仅发生在TTLock应用程序的客户端,相应的钥匙信息保留在关联的锁中。如果攻击者获得这些虚拟钥匙之一,他们就可以在其预期删除或失效后利用它来解锁锁。


影响及后果

这些漏洞允许攻击者通过物理、相邻或蓝牙连接接近锁访问各种功能,从而在受害者不知情或不进行交互的情况下破坏锁的完整性。这导致锁功能形同虚设。

受影响的版本:Kontrol Lux锁,固件版本6.5.x至6.5.07;网关G2,固件版本6.0.0;TTLock应用程序,版本6.4.5

这些漏洞没有软件解决方案,只有潜在的缓解方法。通过使用Sciener固件禁用与锁的蓝牙功能相关的各种功能,可以防止多种攻击。然而,由于锁的设计目的是与TTLock应用程序一起使用,因此对于大多数用户来说这可能不是一个实用的解决方案。
 
参考资源
1、http://kb.cert.org/vuls/id/949046
2、http://www.securityweek.com/unpatched-sceiner-smart-lock-vulnerabilities-allow-hackers-to-open-doors/
3、http://alephsecurity.com/2024/02/20/kontrol-lux-lock-1/
4、http://alephsecurity.com/2024/02/20/kontrol-lux-lock-2/
 
来源:网空闲话plus
 

Copyright © 2017-2020 亚洲信誉品牌的大型娱乐平台 版权所有 豫ICP备18011434号-1 豫公网安备 41019702002746号

" class="hidden">北京小猪短租