知識星球據外媒報道，被公立院校、政府、以及財富 500 強企業廣泛使用的 PremiSys 門禁系統，近日被曝出存在硬編碼後門。其實早在去年年底的時候，Tenable Research 的一安全分析師，就已經在一套名為 PremiSys IDenticard 的訪問控制系統中，發現了一個硬編碼的後門。該軟體用於未員工建立身份識別資訊（ID badges）和遠端管理讀卡器，以便對建築內各個部分的訪問許可權進行管理。
Tenable Research 的 James Sebree 指出，IDenticard 的 PremiSys 3.1.190 版本，包含了一個允許攻擊者訪問管理功能的後門，讓它能夠在系統中新增、編輯和刪除使用者，分配許可權、並控制建築物內的讀卡器。
PremiSys 基於 .Net 框架構建，因此 Sebree 能夠藉助 Jetbrain 的“dotPeek”.Net 反編譯器，對該軟體進行逆向工程。
發現漏洞後，Sebree 多次通知 IDenticard、並試圖取得聯絡，但直到 45 天過去，該公司還是無動於衷。無奈之下，Sebree 選擇向計算機緊急響應小組（CERT）通報此事。
遺憾的是，儘管 CERT 嘗試與 IDenticard 聯絡，但 90 天后，該公司仍未作出回應。事已至此，他們只得公開披露相關漏洞。
鑒於未能訪問系統的物理元件，因此 Tenable 只是簡單描述了這款應用程式的服務流程。
PremiSys 中的身份驗證例程，包含一個名叫 IgnoreAuthentication（）的函式。只要使用硬編碼憑證，此命令就能夠完全按照它所說的那樣去執行。
由於 IDenticard 的軟體被廣泛使用，因此漏洞的波及面相當之廣。
該公司的網站稱，其為財富 500 強企業、K-12 學校、各大院校、醫療中心、工廠，甚至地級、州級和聯邦政府機構與辦事處所採用。
鑒於這是一個硬編碼的漏洞，因此必須 IDenticard 自行修補。然而截止發稿時，該公司仍未就此事作出回應。
* 來源：cnBeta.COM
更多資訊
◈ 比特幣在2010年曾遭遇歷史上最大的駭客攻擊
http://t.cn/EqQvAP8
◈ 家中路由器對於駭客來說是一座座金礦
http://t.cn/EqQvbtP
◈ 特斯拉：駭客如找出旗下汽車軟體漏洞 將獲贈Model 3
http://t.cn/EqQvVYO
◈ 四駭客侵入遠端教育中心，竊取十萬學生資訊賺百萬
http://t.cn/EqQv6Yw
（資訊來源於網路，安華金和蒐集整理）
