其實早在去年年底的時候，Tenable Research 的一安全分析師，就已經在一套名為 PremiSys IDenticard 的訪問控制系統中，發現了一個硬編碼的後門。
該軟體用於未員工建立身份識別資訊（ID badges）和遠端管理讀卡器，以便對建築內各個部分的訪問許可權進行管理。
Tenable Research 的 James Sebree 指出，IDenticard 的 PremiSys 3.1.190 版本，包含了一個允許攻擊者訪問管理功能的後門，讓它能夠在系統中新增、編輯和刪除使用者，分配許可權、並控制建築物內的讀卡器。
PremiSys 基於 .Net 框架構建，因此 Sebree 能夠藉助 Jetbrain 的“dotPeek”.Net 反編譯器，對該軟體進行逆向工程。
發現漏洞後，Sebree 多次通知 IDenticard、並試圖取得聯絡，但直到 45 天過去，該公司還是無動於衷。無奈之下，Sebree 選擇向計算機緊急響應小組（CERT）通報此事。
遺憾的是，儘管 CERT 嘗試與 IDenticard 聯絡，但 90 天后，該公司仍未作出迴應。事已至此，他們只得公開披露相關漏洞。
鑑於未能訪問系統的物理元件，因此 Tenable 只是簡單描述了這款應用程式的服務流程。
PremiSys 中的身份驗證例程，包含一個名叫 IgnoreAuthentication（）的函式。只要使用硬編碼憑證，此命令就能夠完全按照它所說的那樣去執行。
由於 IDenticard 的軟體被廣泛使用，因此漏洞的波及面相當之廣。
該公司的網站稱，其為財富 500 強企業、K-12 學校、各大院校、醫療中心、工廠，甚至地級、州級和聯邦政府機構與辦事處所採用。
鑑於這是一個硬編碼的漏洞，因此必須 IDenticard 自行修補。然而截止發稿時，該公司仍未就此事作出迴應。
其實早在去年年底的時候，Tenable Research 的一安全分析師，就已經在一套名為 PremiSys IDenticard 的訪問控制系統中，發現了一個硬編碼的後門。
該軟體用於未員工建立身份識別資訊（ID badges）和遠端管理讀卡器，以便對建築內各個部分的訪問許可權進行管理。
Tenable Research 的 James Sebree 指出，IDenticard 的 PremiSys 3.1.190 版本，包含了一個允許攻擊者訪問管理功能的後門，讓它能夠在系統中新增、編輯和刪除使用者，分配許可權、並控制建築物內的讀卡器。
PremiSys 基於 .Net 框架構建，因此 Sebree 能夠藉助 Jetbrain 的“dotPeek”.Net 反編譯器，對該軟體進行逆向工程。
發現漏洞後，Sebree 多次通知 IDenticard、並試圖取得聯絡，但直到 45 天過去，該公司還是無動於衷。無奈之下，Sebree 選擇向計算機緊急響應小組（CERT）通報此事。
遺憾的是，儘管 CERT 嘗試與 IDenticard 聯絡，但 90 天后，該公司仍未作出迴應。事已至此，他們只得公開披露相關漏洞。
鑑於未能訪問系統的物理元件，因此 Tenable 只是簡單描述了這款應用程式的服務流程。
PremiSys 中的身份驗證例程，包含一個名叫 IgnoreAuthentication（）的函式。只要使用硬編碼憑證，此命令就能夠完全按照它所說的那樣去執行。
由於 IDenticard 的軟體被廣泛使用，因此漏洞的波及面相當之廣。
該公司的網站稱，其為財富 500 強企業、K-12 學校、各大院校、醫療中心、工廠，甚至地級、州級和聯邦政府機構與辦事處所採用。
鑑於這是一個硬編碼的漏洞，因此必須 IDenticard 自行修補。然而截止發稿時，該公司仍未就此事作出迴應。