CVE-2022-45766

O Global Facilities Management Software da Key Systems Management contém credenciais codificadas de forma fixa que permitem a um atacante remoto minar a disponibilidade, a confidencialidade e a integridade de caixas eletrônicas de chaves. Estes são os sistemas que controlam a custódia física de chaves, então uma credencial embutida não apenas vaza dados, ela pode afetar quem obtém acesso físico às chaves e se as caixas funcionam.

Falhas de credenciais codificadas são exploradas simplesmente usando a conta conhecida, uniformemente em toda implantação, sem necessidade de quebra. O risco distintivo aqui é o cruzamento para o mundo físico: o software governa fechaduras e caixas de chaves reais, então um comprometimento tem consequências que uma violação puramente digital não tem. É um produto de nicho, o que limita o interesse amplo de varredura, mas, para qualquer local que o opere, o que está em jogo é concreto.

Isto é, para nós, um problema de inventário de ativos e isolamento. O GFMS é software especializado, improvável de ser rastreado ao lado da TI convencional, então primeiro precisamos saber onde ele reside, e então garantir que esteja segmentado de qualquer rede não confiável, já que a credencial codificada não pode ser alterada. Onde o fornecedor não tem correção, o isolamento de rede e o monitoramento do tráfego de gerenciamento das caixas de chaves são os controles realistas.