SWIFT Banking & Government Middleware Enables RCE

In­ves­ti­ga­do­res han iden­ti­fi­ca­do una falla de se­gu­ri­dad grave en un pro­gra­ma de au­ten­ti­ca­ción por hard­wa­re que se em­plea para ac­ce­der a pla­ta­for­mas fi­nan­cie­ras y gu­ber­na­men­ta­les de alta sen­si­bi­li­dad. El com­po­nen­te afec­ta­do, co­no­ci­do como SCon­nect y de­sa­rro­lla­do por Tha­les Group, fun­cio­na como una ex­ten­sión de na­ve­ga­dor co­nec­ta­da a una apli­ca­ción de es­cri­to­rio para fa­ci­li­tar la co­mu­ni­ca­ción entre los to­kens fí­si­cos y los si­tios web ofi­cia­les, in­clu­yen­do sis­te­mas ban­ca­rios y gu­ber­na­men­ta­les in­ter­na­cio­na­les.

El de­fec­to per­mi­tía que la ex­ten­sión acep­ta­ra men­sa­jes pro­ve­nien­tes de cual­quier pá­gi­na web o ifra­me. Du­ran­te la va­li­da­ción de la firma di­gi­tal, el soft­wa­re re­ser­va­ba un es­pa­cio en la me­mo­ria pero no com­pro­ba­ba si el cálcu­lo crip­to­grá­fi­co había te­ni­do éxito, lo que po­si­bi­li­ta­ba que un ata­can­te uti­li­za­ra datos ma­ni­pu­la­dos para en­ga­ñar al sis­te­ma. Me­dian­te el uso de agen­tes de in­te­li­gen­cia ar­ti­fi­cial, los in­ves­ti­ga­do­res lo­gra­ron su­pe­rar este con­trol de se­gu­ri­dad y eje­cu­tar có­di­go de forma re­mo­ta en pocos se­gun­dos al vi­si­tar una pá­gi­na ma­li­cio­sa.

Tha­les Group im­ple­men­tó par­ches para so­lu­cio­nar el pro­ble­ma en dis­tin­tas tien­das de apli­ca­cio­nes y asig­nó una ca­li­fi­ca­ción crí­ti­ca a la vul­ne­ra­bi­li­dad re­gis­tra­da. Aun­que la he­rra­mien­ta ha lle­ga­do al final de su vida útil y se han in­tro­du­ci­do al­ter­na­ti­vas para re­em­pla­zar­la, se teme que mu­chos usua­rios y cor­po­ra­cio­nes to­da­vía la man­ten­gan ins­ta­la­da, lo que po­dría fa­ci­li­tar ata­ques avan­za­dos en en­tor­nos fi­nan­cie­ros.