یک رمز عبور پیش‌فرض، دسترسی به ده‌ها ساختمان آپارتمانی را به خطر می‌اندازد!
یک محقق امنیتی اعلام کرده است که رمز عبور پیش‌فرض ارائه‌شده در یک سیستم کنترل دسترسی درب که به طور گسترده استفاده می‌شود، اجازه می‌دهد هر کسی به آسانی و به صورت از راه دور به قفل‌های درب و کنترل‌های آسانسور در ده‌ها ساختمان در ایالات متحده و کانادا دسترسی پیدا کند.
شرکت Hirsch که اکنون مالک سیستم دسترسی به درب Enterphone MESH است، هیچ اقدامی برای اصلاح این آسیب‌پذیری انجام نخواهد داد و اعلام کرده است که این اشکال به صورت طراحی شده وجود دارد و مشتریان باید دستورالعمل‌های نصب شرکت را دنبال کرده و رمز عبور پیش‌فرض را تغییر دهند.
این امر موجب باقی ماندن ده‌ها ساختمان مسکونی و اداری در آمریکای شمالی با رمز عبور پیش‌فرض کنترل دسترسی شده است که هنوز تغییر نکرده‌اند یا از نیاز به تغییر آن آگاه نیستند. اریک دیگل، محققی که این ساختمان‌های آسیب‌پذیر را شناسایی کرده، در این باره توضیح می‌دهد.
- رمزهای عبور پیش‌فرض در دستگاه‌های متصل به اینترنت رایج هستند و معمولاً در دستورالعمل‌های محصول یافت می‌شوند.
- اعتماد به مشتری برای تغییر رمز عبور پیش‌فرض به منظور جلوگیری از دسترسی‌های مخرب، به عنوان یک آسیب‌پذیری امنیتی در خود محصول طبقه‌بندی می‌شود.
- در محصولات Hirsch، مشتریان هنگام نصب سیستم به تغییر رمز عبور پیش‌فرض ترغیب نمی‌شوند.
دیگل به خاطر کشف این اشکال امنیتی که به طور رسمی به عنوان CVE-2025-26793 شناخته می‌شود، اعتبار یافته است.
مشکلات رمزهای عبور پیش‌فرض
رمزهای عبور پیش‌فرض مدت‌هاست که مشکلی برای دستگاه‌های متصل به اینترنت محسوب می‌شوند. هکرهای مخرب می‌توانند از این رمزها برای ورود به سیستم استفاده کرده و داده‌ها را سرقت کنند یا دستگاه‌ها را به منظور راه‌اندازی حملات سایبری تصاحب کنند. در سال‌های اخیر، دولت‌ها سعی کرده‌اند تکنولوژی‌سازان را به دوری از استفاده از رمزهای عبور ناپایدار ترغیب کنند.
در مورد سیستم دسترسی به درب Hirsch، این اشکال به دلیل سهولت در سوءاستفاده، به عنوان 10 از 10 در مقیاس شدت آسیب‌پذیری ارزیابی شده است. به طور عملی، سوءاستفاده از این اشکال به سادگی با گرفتن رمز عبور پیش‌فرض از راهنمای نصب سیستم از وب‌سایت Hirsch و وارد کردن آن در صفحه ورود به سیستم هر ساختمان آسیب‌دیده امکان‌پذیر است.
دیگل در یک پست وبلاگی گفت که او این آسیب‌پذیری را سال گذشته پس از کشف یکی از پنل‌های ورود به درب Enterphone MESH ساخته شده توسط Hirsch در یک ساختمان در زادگاهش، ونکوور، شناسایی کرده است. او با استفاده از سایت اسکن اینترنتی ZoomEye به جستجوی سیستم‌های Enterphone MESH متصل به اینترنت پرداخته و 71 سیستم را که هنوز به رمزهای عبور پیش‌فرض متکی بودند، پیدا کرد.
دسترسی آسان به سیستم‌ها
دیگل اعلام کرد که رمز عبور پیش‌فرض دسترسی به سیستم پشتیبان وب MESH را فراهم می‌کند که مدیران ساختمان برای مدیریت دسترسی به آسانسورها، مناطق مشترک و قفل‌های درب اداری و مسکونی از آن استفاده می‌کنند. هر سیستم آدرس فیزیکی ساختمان با سیستم MESH نصب شده را نمایش می‌دهد و به هر کسی که وارد می‌شود این امکان را می‌دهد که بداند به کدام ساختمان دسترسی دارد.
به گفته دیگل، این امکان وجود دارد که به راحتی به هر یک از ده‌ها ساختمان آسیب‌دیده در عرض چند دقیقه بدون جلب توجه نفوذ کرد.
TechCrunch به این موضوع ورود کرد زیرا Hirsch هیچ وسیله‌ای، مانند صفحه افشای آسیب‌پذیری، برای اعضای عمومی مانند دیگل ندارد تا یک اشکال امنیتی را به شرکت گزارش دهند.
مدیرعامل Hirsch، مارک آلن، به درخواست TechCrunch برای اظهار نظر پاسخ نداد و به جای آن به یک مدیر ارشد محصول Hirsch اشاره کرد که به TechCrunch گفت استفاده این شرکت از رمزهای عبور پیش‌فرض «منسوخ» است (بدون توضیح در مورد چگونگی آن). مدیر محصول همچنین گفت که این موضوع «به همان اندازه نگران‌کننده» است که برخی مشتریان «سیستم‌ها را نصب کرده و از توصیه‌های تولیدکننده پیروی نمی‌کنند»، که به دستورالعمل‌های نصب خود Hirsch اشاره داشت.
Hirsch از افشای عمومی جزئیات مربوط به این اشکال خودداری کرد، اما گفت که با مشتریان خود در مورد پیروی از دستورالعمل‌های محصول تماس گرفته است.
با عدم تمایل Hirsch به اصلاح این اشکال، برخی ساختمان‌ها و ساکنان آن‌ها احتمالاً همچنان در معرض خطر خواهند بود. این اشکال نشان می‌دهد که انتخاب‌های توسعه محصول در گذشته می‌تواند سال‌ها بعد به عواقب واقعی منجر شود.
