Menyusup ke Puluhan Gedung Apartemen dalam 5 Menit dengan Ponsel

• Beberapa bulan lalu, penulis melewati sebuah gedung apartemen dengan panel kontrol akses yang menarik saat hendak naik SeaBus.
• Mencatat nama merek "MESH by Viscount" lalu mulai mencari informasinya lewat ponsel.

Bagian 0: Eksplorasi

• Dengan mencari nama sistemnya di Google, penulis menemukan halaman penjualan yang mengiklankan kemampuan TCP/IP untuk memprogram dan memelihara sistem dari jarak jauh.
• Dengan mencari "mesh by viscount" filetype:pdf, penulis menemukan panduan instalasi yang menjelaskan bahwa kredensial bawaan harus diubah, tetapi tidak ada penjelasan tentang cara mengubahnya.
• Penulis mengetahui bahwa judul halaman login web UI adalah "FREEDOM Administration Login".

Bagian 1: Kebocoran data pribadi

• Mengekspos panel ke internet adalah tindakan ceroboh, tetapi penulis dapat mengakses sistem menggunakan kredensial bawaan.
• Di bagian pengguna, nama lengkap penghuni dipetakan ke nomor unit, dan alamat gedung digunakan sebagai judul situs.
• Di bagian event, catatan akses yang terkait dengan nomor unit tertentu dapat dilihat.
• Di bagian pengguna, nomor telepon semua penghuni juga terekspos.

Bagian 2: Penyusupan

• Selain kebocoran data pribadi, penulis juga dapat mengakses bagian area terkontrol untuk mendaftarkan FOB akses baru atau menonaktifkan yang sudah ada.
• Melalui fungsi override, kunci pintu masuk mana pun dapat dibuka.

Bagian 3: Seberapa luas penyebarannya?

• Untuk memeriksa apakah kredensial bawaan yang bekerja pada hasil pertama itu hanya keberuntungan, penulis memindai lebih banyak sistem menggunakan ZoomEye.
• Penulis menggunakan template Nuclei untuk memeriksa apakah sistem-sistem tersebut rentan.
• Total ditemukan 89 hasil, dan 43% dari sistem yang terekspos di ZoomEye selama satu tahun terakhir bersifat rentan.
• Mayoritas sistem yang terekspos berada di Kanada.

Linimasa

• 2024-12-20: Kerentanan ditemukan
• 2024-12-27: Menghubungi Hirsch, pemasok MESH saat ini
• 2025-01-09: Menghubungi CEO Identiv, pemasok MESH sebelumnya
• 2025-01-11: Tim keamanan produk Hirsch meminta detail dan menanyakan apakah ada rencana untuk memberi tahu pelanggan
• 2025-01-29: Hirsch merespons bahwa sistem yang tidak mengganti kata sandi bawaan bersifat rentan
• 2025-01-30: Meminta pembaruan apakah pelanggan yang menjalankan sistem rentan telah diberi tahu (belum ada respons hingga waktu publikasi)
• 2025-02-14: CVE-2025-26793 ditetapkan
• 2025-02-15: Dipublikasikan

[GN⁺]

Opini Hacker News

• Saya pernah bersama seorang kurir Amazon saat menuju komunitas berpagar untuk mengunjungi teman. Kami tidak tahu kode akses gerbangnya, tetapi dia adalah kurir Amazon

  • "Mari lihat apakah saya bisa membuat kita masuk," katanya, lalu turun dari mobil, memeriksa panel akses, memasukkan beberapa angka, dan gerbang pun terbuka
  • Banyak komunitas berpagar dan kompleks apartemen memesan barang lewat Amazon dan layanan pengiriman lain, tetapi tidak memberi cara bagi kurir untuk masuk. Akhirnya, seorang kurir yang frustrasi karena kode itu menuliskannya di samping panel akses agar bisa digunakan semua orang
  • "Apartemen itu mengerikan," katanya, lalu menambahkan, "Kampus universitas adalah penderitaan dalam hidup kami. Orang mungkin mengira mahasiswa akan cerdas soal beginian, tapi justru mereka yang paling parah"

• Kalau saya membaca ini dengan benar, ini tentang area "umum" apartemen, bukan tentang pintu unit apartemen yang sebenarnya. Ada perbedaan besar antara akses ke dua hal itu

• Hirsch menjawab bahwa sistem-sistem rentan ini tidak mengikuti rekomendasi pabrikan untuk mengganti kata sandi bawaan

  • Rekomendasi pabrikan tidak bisa diterima. Sistem harus mewajibkan kata sandi keamanan non-default sebelum digunakan

• Di SF, pernah ada seseorang yang mengetahui kode akses admin untuk interkom apartemen lama (diduga buatan Linear dan perusahaan lain). Interkom itu akan menelepon nomor telepon yang diprogram saat kode akses apartemen dimasukkan dari pintu

  • Jadi mereka menambahkan penyewa palsu dengan nomor premium 1-900, lalu menggunakan interkom itu untuk menelepon dan menghasilkan sedikit uang. Tentu saja, pemilik gedunglah yang menanggung biayanya

• Keamanan Viscount sangat buruk sampai terasa lucu. Saat tinggal di Toronto, saya pernah tinggal di gedung yang mengontrol akses menggunakan fob inframerah Viscount. Itu tidak lebih aman daripada remote TV; tidak ada rolling code, tidak ada enkripsi. Penyerang bisa duduk di dekat situ dengan penerima IR, mengumpulkan kode fob semua orang, lalu mendapatkan akses ke semua lantai

  • Tak perlu dikatakan lagi, saya pindah

• 2025-01-29: Hirsch menjawab bahwa sistem-sistem rentan ini tidak mengikuti rekomendasi pabrikan untuk mengganti kata sandi bawaan

  • Oh, begitu. Yang salah adalah anak-anaknya

• Saya selalu penasaran: bagaimana semuanya bisa masuk ke Google? Apakah dengan mengirimkan tautan, atau karena ada tautan publik yang mengarah ke sana?

• Setelah menonton banyak serial TV, istri saya yang nonteknis menyimpulkan bahwa sistem nyata memang mudah diretas: cukup gunakan 'lewati kata sandi', 'abaikan kata sandi', atau 'kata sandi' sebagai kata sandi

  • Sepertinya dia hampir benar

• Kami tertawa saat melihat adegan di film Hollywood ketika tokoh utama berkata kepada teman peretasnya, "Buat saya bisa masuk ke gedung ini. Cepat." lalu temannya menjawab, "Tunggu sebentar. Sudah." klik! pintunya terbuka

• Masuk ke gedung apartemen dalam 30 detik tanpa ponsel:

  • Bawa tas kertas cokelat (pengantaran makanan), berdiri di samping interkom, dan pura-pura menekan tombol. Saat seseorang masuk atau keluar, ikut masuk sambil berkata "terima kasih". Sembilan dari sepuluh kali, mereka akan membukakan pintu