Bir güvenlik araştırmacısı, yaygın olarak kullanılan bir ödeme terminalinde, saldırganların bir dakikadan kısa sürede cihazın tam kontrolünü ele geçirmesine olanak verebilecek önemli bir güvenlik açığını ortaya çıkardı.
Etkilenen model Worldline Yomani XR, İsviçre’deki marketlerde, kafelerde, tamir atölyelerinde ve diğer birçok işletmede bulunuyor.
Sertleştirilmiş, kurcalamaya karşı korumalı bir cihaz olarak tanınmasına rağmen, terminalin bakım bağlantı noktası güvenli olmayan bir kök kabuğu açığa çıkarır ve kısa fiziksel erişimi olan herkese uzaktan erişim sağlar.
Kilitsiz Kök Kabuk ve Erişilebilir Hata Ayıklama Bağlantı Noktası
Terminal ilk açıldığında normal şekilde davranıyor gibi görünüyor. Hızlı bir ağ taraması açık bağlantı noktası sağlamaz.
Ancak dahili analiz, cihazın arka panelinde, küçük bir servis kapağının altına gizlenmiş, doldurulmamış bir hata ayıklama konektörü olduğunu ortaya çıkardı. Araştırmacı, basit bir seri kablo bağlayıp terminale güç vererek standart bir Linux önyükleme günlüğünü gözlemledi.
Sistem, 2023’ün başlarında Buildroot ile oluşturulmuş, BusyBox yardımcı programları ve uClibc kitaplıklarıyla tamamlanmış bir 3.6 çekirdeği çalıştırıyor. Önyükleme sırasının sonunda seri konsolda bir oturum açma istemi görünür.
İsteme “root” girilmesi, tam kök kabuğa anında erişim sağlar. Şifre engeli yok, şifreleme yok, sadece tek kelime.
Saldırgan içeri girdikten sonra kötü amaçlı yazılım yükleyebilir, işlem verilerini yakalayabilir veya arka uç ağlara girebilir.
Fiziksel olarak Yomani XR etkileyici bir şekilde tasarlanmıştır. Terminal, özel bir çift çekirdekli Arm ASIC (“Samoa II”), çok sayıda sıkıca sıkıştırılmış PCB ve kapsamlı kurcalama algılama özelliklerini kullanır.
Her karttaki basınca duyarlı zebra şeritler ve zig-zag bakır izleri, devreleri keserek izinsiz sökme işlemlerini tespit eder.
Düğme pil, güç kesildiğinde bile kurcalamaya karşı korumanın aktif kalmasını sağlar. Açıkta kalan kablolar veya PCB’nin delinmesi, geri dönüşü olmayan bir kırmızı ekranı tetikleyerek terminali çalışmaz hale getirebilir.
Ancak bu donanım korumaları hata ayıklama arayüzünü kapsamaz. Güvenli olmayan bir seri bağlantı noktasının ortaya çıkması, tasarımın genel güvenlik hedeflerini baltalıyor.
Daha ileri donanım yazılımı analizi, terminalin aslında iki ayrı işlem ortamını çalıştırdığını gösteriyor.
İlk çekirdek, ağ iletişimini ve genel iş mantığını yöneten “güvenli olmayan” bir Linux uygulamasını başlatır.
Bu çekirdek, kart okuyucuyu, tuş takımını ve ekranı yöneten özel bir işlemciye ikinci, “güvenli” bir ürün yazılımı görüntüsünün yüklenmesinden sorumludur.
Bu güvenli görüntü şifrelenir ve imzalanır ve yalnızca kurcalamaya karşı koruma sağlamsa çalışır. Sonuç olarak, saldırganlar Linux kabuğuna erişseler bile, güvenli çekirdeği ihlal etmeden kart işlemeyi doğrudan değiştiremezler.
Ancak uygulama çekirdeğinin tehlikeye atılması hala önemli bir risk teşkil etmektedir. Saldırganlar güncellemeleri kesintiye uğratabilir, ağ trafiğini günlüğe kaydedebilir veya daha sonra güvenli işlemciyi hedeflemek için arka kapılar kurabilir.
Bu yolla kart verilerinin çalındığına dair kamuya açık hiçbir kanıt bulunmamakla birlikte, korumasız bir kök kabuğun açığa çıkması kritik bir gözetim olmaya devam ediyor.
Bu terminallere güvenen satıcılar, cihazları yetkisiz erişim kapakları açısından incelemeli ve satıcılardan harici hata ayıklama bağlantı noktasını devre dışı bırakan ürün yazılımı güncellemeleri istemelidir.
Worldline’a bilgi verildi ve sorunun daha sonraki ürün yazılımı sürümlerinde düzeltildiği bildirildi. Bu güncellemeler geniş çapta dağıtılana kadar terminal operatörleri, güçlü donanım savunmalarının altında gizlenen gereksiz bir riskle karşı karşıya kalır.
Anında Güncellemeler Almak ve GBH’yi Google’da Tercih Edilen Kaynak Olarak Ayarlamak için bizi Google Haberler, LinkedIn ve X’te takip edin.