Немецкие исследователи информационной безопасности из SRLabs заявили, что им удалось обнаружить множественные уязвимости в POS-терминалах Artema Hybrid производства американской компании VeriFone. Этот терминал является одним из самых распространенных в Германии, более 300 тыс. торговых точек оснащены именно им. По мнению экспертов, несмотря на то, что терминал Artema Hybrid имеет DK-сертификат безопасности, в нем существуют критические уязвимости. Одна из продемонстрированных уязвимостей позволяет удаленно выполнить произвольный программный код, тем самым установить на POS-терминал троян, перехватывающий введенные данные и служебную информацию. Причиной уязвимости стали ошибки реализации TCP/IP стека, приводящие к переполнению буфера. Демонстрируя возможности уязвимости, специалисты SRLabs производили безошибочное считывание введенных PIN-кодов платежных карт системы Electronic Cash (EC) в автоматическом режиме. По утверждению экспертов, кроме сбора информации о карте и перехвата PIN-кода, им удавалось изменить информацию о проводимом платеже, подделывать системные сообщения терминала и отключать встроенную систему шифрования данных. В качестве демонстрации полного контроля над устройством, исследователи даже запустили игру PONG на терминале. Для использования уязвимости злоумышленникам достаточно подключиться к локальной сети предприятия и выполнить специально сформированный запрос к устройству. Кроме того, эксперты изучили возможности атаки через непосредственное подключение к устройству через последовательный порт и JTAG-интерфейс. В двух этих случаях им удавалось произвести выполнение произвольного программного кода и настроить терминал на перехват данных. В марте этого года, разработчик устройств был поставлен в известность об имеющихся уязвимостях и снабжен необходимой технической информацией. Однако, на текущий момент уязвимости все еще не устранены. По мнению, представителей компании Verifone, атака через представленную уязвимость не способна причинить вред держателям карт в Германии, поскольку для подтверждения операции также используется чип карты. Такой ответ взывал у исследователей недоумение, поскольку полученных данных достаточно для осуществления интернет-платежей и создания клонированной карты. Деньги с такой карты можно будет снять за пределами Германии, где платежные операции не подвергаются дополнительным проверкам.
Источник