Een kritieke kwetsbaarheid in een app van Chirp Systems maakt het mogelijk voor aanvallers om toegang tot tienduizenden woningen te krijgen. Het probleem is al drie jaar bij het bedrijf bekend, maar die weigert met een oplossing te komen, zo melden beveiligingsonderzoeker Matt Brown die het probleem ontdekte en het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.

Chirp Systems biedt een 'smart access solution', oftewel een app waarmee gebruikers digitale sloten kunnen openen. In de Verenigde Staten zouden zeker vijftigduizend woningen en woonlocaties er gebruik van maken. Het wordt vooral gebruikt door grote verhuurders van woningen. De broncode van de app bevat echter hard-coded credentials, waarmee een aanvaller volledige controle over het slot kan krijgen.

De impact van de kwetsbaarheid (CVE-2024-2197) is op een schaal van 1 tot en met 10 beoordeeld met een 9.1. Brown ontdekte dat de app wachtwoorden en private key strings in een bestand opslaat, zo laat hij tegenover it-journalist Brian Krebs weten. De onderzoeker informeerde Chirp Systems in maart 2021, maar een beveiligingsupdate bleef uit. Het CISA laat weten dat het bedrijf niet reageerde op verzoeken om samen het probleem op te lossen. Gebruikers van de systemen wordt aangeraden contact op te nemen met Chirp Systems.