Các thiết bị đầu cuối điểm bán hàng (PoS) từ Công nghệ PAX bị ảnh hưởng bởi một tập hợp các lỗ hổng nghiêm trọng cao có thể được vũ khí hóa bởi các tác nhân đe dọa để thực thi mã tùy ý.
Nhóm STM Cyber R&D, đã thiết kế ngược các thiết bị dựa trên Android do công ty Trung Quốc sản xuất do triển khai nhanh chóng ở Ba Lan, cho biết họ đã phát hiện ra nửa tá lỗ hổng cho phép leo thang đặc quyền và thực thi mã cục bộ từ bộ nạp khởi động.
Thông tin chi tiết về một trong các lỗ hổng (CVE-2023-42133) hiện đã được giữ lại. Các lỗ hổng khác được liệt kê dưới đây -
- CVE-2023-42134 &; CVE-2023-42135 (điểm CVSS: 7.6) - Thực thi mã cục bộ dưới dạng root thông qua tiêm tham số kernel trong fastboot (Tác động đến PAX A920Pro / PAX A50)
- CVE-2023-42136 (điểm CVSS: 8.8) - Nâng cấp đặc quyền từ bất kỳ người dùng / ứng dụng nào lên người dùng hệ thống thông qua dịch vụ tiếp xúc với chất kết dính phun vỏ (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)
- CVE-2023-42137 (điểm CVSS: 8.8) - Nâng cấp đặc quyền từ người dùng hệ thống / shell lên root thông qua các hoạt động không an toàn trong systool_server daemon (Tác động đến tất cả các thiết bị PAX PoS dựa trên Android)
- CVE-2023-4818 (điểm CVSS: 7.3) - Hạ cấp bộ nạp khởi động thông qua mã thông báo không đúng cách (Tác động đến PAX A920)
Khai thác thành công các điểm yếu nói trên có thể cho phép kẻ tấn công nâng cao đặc quyền của chúng để root và vượt qua các biện pháp bảo vệ hộp cát, có hiệu quả quyền truy cập để thực hiện bất kỳ hoạt động nào.
Điều này bao gồm can thiệp vào các hoạt động thanh toán để "sửa đổi dữ liệu mà ứng dụng thương mại gửi đến [Bộ xử lý bảo mật], bao gồm số tiền giao dịch", các nhà nghiên cứu bảo mật Adam Kliś và Hubert Jasudowicz cho biết.
Điều đáng nói là việc khai thác CVE-2023-42136 và CVE-2023-42137 yêu cầu kẻ tấn công phải có quyền truy cập shell vào thiết bị, trong khi ba phần còn lại yêu cầu tác nhân đe dọa phải có quyền truy cập USB vật lý vào nó.
Công ty thử nghiệm thâm nhập có trụ sở tại Warsaw cho biết họ đã tiết lộ một cách có trách nhiệm các lỗ hổng cho PAX Technology vào đầu tháng 5/2023, sau đó các bản vá lỗi đã được phát hành vào tháng 11/2023.