Onderzoekers van securitybedrijf SecureWorks hebben een beveiligingslek in twee sleutelloze deursloten ontdekt waardoor het mogelijk is om deuren te openen en sluiten en kunnen er willekeurige id-badges aan de database met legitieme id-badges worden toegevoegd.

Op deze manier kan er ongeautoriseerde toegang via een niet legitieme id-badge worden verkregen. De kwetsbaarheid bevindt zich in twee ip-gebaseerde deurcontrollers van fabrikant AMAG die in sleutelloze deuren worden gebruikt. Door het versturen van ongeauthenticieerde verzoeken via seriële communicatie over tcp/ip is het mogelijk om deuren op afstand te openen en te sluiten.

Een ander probleem is dat encryptie in de standaard setup van de controllers niet staat ingeschakeld, waardoor het mogelijk is om aan de database van de deurcontroller willekeurige badges toe te voegen. Een aanvaller kan zo informatie van zijn eigen badge toevoegen en met de fysieke badge allerlei deuren openen. Volgens de onderzoekers kan de kwetsbaarheid niet alleen worden gebruikt door aanvallers die toegang tot bepaalde locaties willen hebben, het is ook mogelijk om deuren bijvoorbeeld in het geval van brand op slot te doen.

De communicatie tussen SecureWorks en AMAG verliep moeizaam, zo blijkt uit het rapport van de onderzoekers (pdf). De fabrikant werd op 27 april voor het eerst benaderd. Uiteindelijk liet het bedrijf eind november weten dat het klanten over het probleem zou inlichten, waarop de onderzoekers het rapport afgelopen weekend publiceerden. De kwetsbaarheid is wat betreft de impact op een schaal van 1 tot en met 10 met een 9,3 beoordeeld en is volgens SecureWorks eenvoudig te misbruiken. Door het inschakelen van encryptie op de deurcontroller kan het beveiligingslek worden verholpen.