19.01.2024 | Купил сметаны – лишился зарплаты: польские хакеры научились манипулировать транзакциями PoS-терминалов |
Группа исследователей из польской компании STM Cyber обнаружила серьёзные уязвимости в платёжных терминалах, производимых китайской компанией PAX . С их помощью киберпреступники могут выполнять на PoS -терминалах произвольный код. Специалисты использовали реверс-инжиниринг , чтобы исследовать безопасность устройств на базе Android , в связи с их стремительным распространением по территории Польши. В ходе этого процесса они выявили целых шесть критических недостатков, которые далее мы рассмотрим чуть подробнее. Информация об одной из уязвимостей ( CVE-2023-42133 ) пока не раскрывается в целях предосторожности. Остальные же представляют из себя следующее:
Успешное использование этих уязвимостей позволяет злоумышленникам повысить свои привилегии до уровня root и обойти защиту песочницы, фактически получая неограниченный доступ к выполнению любых операций. Перечень злонамеренный действий включает в себя вмешательство в платёжные операции для «изменения данных, которые торговое приложение отправляет в защищённый процессор, включая сумму транзакции», — отметили исследователи безопасности Адам Клиш и Хуберт Ясудович. Стоит отметить, что для эксплуатации CVE-2023-42136 и CVE-2023-42137 злоумышленнику необходим доступ к оболочке устройства, в то время как для остальных трёх требуется физический доступ к USB-порту устройства. Исследователи STM Cyber раскрыли уязвимости компании PAX Technology в начале мая 2023 года, а в ноябре последняя выпустила исправления, устраняющие эти недостатки безопасности. |
Проверить безопасность сайта