Les détecteurs de métaux sans rendez-vous peuvent être piratés, selon de nouvelles recherches
Les chercheurs ont découvert un total de neuf vulnérabilités logicielles dans un détecteur de métaux couramment utilisé . Si elles sont exploitées, les failles de sécurité pourraient permettre à un pirate de mettre les détecteurs hors ligne, de lire ou de modifier leurs données, ou simplement de gâcher généralement leurs fonctionnalités, révèle la recherche .
Le produit en question est fabriqué par Garrett , un fabricant de détecteurs de métaux américain bien connu qui vend son produit aux écoles, aux palais de justice, aux prisons, aux aéroports, aux lieux de sport et de divertissement et à un assortiment de bâtiments gouvernementaux, selon son site Web et d'autres sites. En d'autres termes, leurs produits sont à peu près partout.
Malheureusement, selon les chercheurs de Cisco Talos , le module iC largement utilisé de Garrett est en difficulté. Le produit, qui fournit une connectivité réseau à deux des détecteurs piétons populaires de la société (le Garrett PD 6500i et le Garrett MZ 6100), agit essentiellement comme un centre de contrôle pour l'opérateur humain du détecteur : à l'aide d'un ordinateur portable ou d'une autre interface, un opérateur peut utiliser le module pour contrôler à distance un détecteur, ainsi que pour effectuer une "surveillance et des diagnostics en temps réel", selon un site Web vendant le produit.
Dans un article de blog publié mardi, les chercheurs de Talos ont déclaré que les vulnérabilités d'iC, qui sont officiellement suivies comme une multitude de CVE , pourraient permettre à quelqu'un de pirater des détecteurs de métaux spécifiques, de les mettre hors ligne, d'exécuter du code arbitraire et généralement de faire simplement un vrai gâchis.
"Un attaquant pourrait manipuler ce module pour surveiller à distance les statistiques du détecteur de métaux, par exemple si l'alarme a été déclenchée ou combien de visiteurs sont passés", écrivent les chercheurs . "Ils pourraient également apporter des modifications de configuration, telles que la modification du niveau de sensibilité d'un appareil, ce qui pose potentiellement un risque de sécurité pour les utilisateurs qui comptent sur ces détecteurs de métaux."
En bref : C'est une mauvaise nouvelle. D'une manière générale, personne ne veut vraiment traverser un détecteur de métaux. Mais, si vous devez en parcourir un, cela pourrait aussi bien fonctionner, n'est-ce pas? Alors que les scénarios dans lesquels un attaquant se donnerait la peine de pirater ces systèmes semblent minces voire fantastiques, disposer de systèmes de sécurité fonctionnels dans des endroits importants comme les aéroports et les agences gouvernementales semble être une bonne idée.
Heureusement, Talos affirme que les utilisateurs de ces appareils peuvent atténuer les failles de sécurité en mettant à jour leurs modules iC vers la dernière version de son micrologiciel. Cisco a apparemment révélé les vulnérabilités à Garrett en août et le fournisseur vient de corriger les failles le 13 décembre, écrit Talos.
Nous avons contacté la division de la sécurité de Garrett pour obtenir des commentaires et mettrons à jour cette histoire s'ils répondent.
