Один кабель и минута времени: белый хакер получил полный контроль над популярным платёжным терминалом
NewsMakerУстройства массово используются в магазинах и ресторанах, но их безопасность оказалась иллюзорной.
Платёжные терминалы производства Worldline, повсеместно используемые в Швейцарии, оказались уязвимыми для атаки, позволяющей получить полный контроль над устройством всего за минуту. Обнаруженная проблема затрагивает модель Worldline Yomani XR, установленную в супермаркетах, кафе, мастерских и других точках приёма карт. Несмотря на внешний уровень защиты и продуманную антивандальную конструкцию, терминал открывает рут-доступ без пароля через сервисный порт, если атакующий получает к нему физический доступ.
Анализ показал, что на задней панели терминала есть неиспользуемый разъём отладчика, скрытый под небольшим лючком. Подключив к нему обычный последовательный кабель и запустив устройство, специалист увидел стандартную загрузку Linux. Терминал работает на ядре версии 3.6, собранном с помощью Buildroot в начале 2023 года, с утилитами BusyBox и библиотеками uClibc. В конце загрузки на последовательной консоли появляется приглашение ко входу. Введя «root», можно немедленно попасть в системную оболочку без какой-либо аутентификации.
Физически устройство выполнено с высокой степенью защиты. Оно использует двухъядерный процессор на базе архитектуры Arm, сжато размещённые платы и сложную систему обнаружения вмешательства. Попытки вскрытия корпуса или сверление платы приводят к срабатыванию защитных механизмов, включая необратимую блокировку и вывод на красный экран. Отдельный аккумулятор позволяет поддерживать защиту даже при отключении питания.
Однако выявленная уязвимость обходила все эти меры — отладочный интерфейс не был защищён. Это позволило получить доступ к незашифрованной среде Linux, отвечающей за сетевое взаимодействие и бизнес-логику. Вторая, более защищённая среда, запускаемая на выделенном процессоре, управляет работой клавиатуры, экрана и кардридера и активируется только при соблюдении условий безопасности. Хотя напрямую управлять ею через оболочку Linux невозможно, наличие доступа к первой среде всё равно представляет опасность: можно внедрить вредоносный код, перехватывать сетевой трафик или нарушить обновления системы.
На момент публикации нет подтверждённых случаев компрометации данных пользователей через данную уязвимость, однако специалисты подчёркивают серьёзность проблемы. Вендору Worldline было направлено уведомление, и, по информации из открытых источников, в более поздних версиях прошивки неисправность уже устранена.
Однако выявленная уязвимость указывает на более широкую проблему — аналогичные недочёты могут встречаться и в терминалах других производителей. Незащищённые сервисные интерфейсы, оставленные для диагностики или обслуживания, нередко становятся слабым звеном даже в тщательно продуманных устройствах. Поэтому при проектировании и массовом внедрении платёжных решений важно учитывать не только криптографическую стойкость и антивандальные меры, но и исключать любые несанкционированные пути доступа, включая отладочные порты и тестовые разъёмы.
Платёжные терминалы производства Worldline, повсеместно используемые в Швейцарии, оказались уязвимыми для атаки, позволяющей получить полный контроль над устройством всего за минуту. Обнаруженная проблема затрагивает модель Worldline Yomani XR, установленную в супермаркетах, кафе, мастерских и других точках приёма карт. Несмотря на внешний уровень защиты и продуманную антивандальную конструкцию, терминал открывает рут-доступ без пароля через сервисный порт, если атакующий получает к нему физический доступ.
Анализ показал, что на задней панели терминала есть неиспользуемый разъём отладчика, скрытый под небольшим лючком. Подключив к нему обычный последовательный кабель и запустив устройство, специалист увидел стандартную загрузку Linux. Терминал работает на ядре версии 3.6, собранном с помощью Buildroot в начале 2023 года, с утилитами BusyBox и библиотеками uClibc. В конце загрузки на последовательной консоли появляется приглашение ко входу. Введя «root», можно немедленно попасть в системную оболочку без какой-либо аутентификации.
Физически устройство выполнено с высокой степенью защиты. Оно использует двухъядерный процессор на базе архитектуры Arm, сжато размещённые платы и сложную систему обнаружения вмешательства. Попытки вскрытия корпуса или сверление платы приводят к срабатыванию защитных механизмов, включая необратимую блокировку и вывод на красный экран. Отдельный аккумулятор позволяет поддерживать защиту даже при отключении питания.
Однако выявленная уязвимость обходила все эти меры — отладочный интерфейс не был защищён. Это позволило получить доступ к незашифрованной среде Linux, отвечающей за сетевое взаимодействие и бизнес-логику. Вторая, более защищённая среда, запускаемая на выделенном процессоре, управляет работой клавиатуры, экрана и кардридера и активируется только при соблюдении условий безопасности. Хотя напрямую управлять ею через оболочку Linux невозможно, наличие доступа к первой среде всё равно представляет опасность: можно внедрить вредоносный код, перехватывать сетевой трафик или нарушить обновления системы.
На момент публикации нет подтверждённых случаев компрометации данных пользователей через данную уязвимость, однако специалисты подчёркивают серьёзность проблемы. Вендору Worldline было направлено уведомление, и, по информации из открытых источников, в более поздних версиях прошивки неисправность уже устранена.
Однако выявленная уязвимость указывает на более широкую проблему — аналогичные недочёты могут встречаться и в терминалах других производителей. Незащищённые сервисные интерфейсы, оставленные для диагностики или обслуживания, нередко становятся слабым звеном даже в тщательно продуманных устройствах. Поэтому при проектировании и массовом внедрении платёжных решений важно учитывать не только криптографическую стойкость и антивандальные меры, но и исключать любые несанкционированные пути доступа, включая отладочные порты и тестовые разъёмы.