یک آسیب‌پذیری امنیتی با شناسه CVE-2026-97898 در سرویس ابری ورود بدون کلید (Keyless Entry) شرکت Akia شناسایی شده است. این نقص امنیتی که دارای امتیاز 8.4 در مقیاس CVSS است، به دلیل وجود مشکل IDOR (مرجع مستقیم ناامن به شیء) و فقدان احراز هویت در سطح شیء (Object-level Authorization) رخ داده است.
جزئیات فنی آسیب‌پذیری
در این سرویس، عملیات باز کردن قفل (Unlock) تنها بر اساس شناسه اتاق یا درب ارسالی از سوی کلاینت عمل می‌کرد و در سمت سرور، بررسی لازم برای تطبیق این شناسه با رزرو فعال کاربر صورت نمی‌گرفت. این موضوع باعث می‌شد یک کاربر احراز هویت شده (Guest)، بتواند با تغییر دادن شناسه‌های ارسالی، قفل اتاق‌هایی را که به آن‌ها دسترسی ندارند، باز کرده و دسترسی فیزیکی غیرمجاز به اتاق‌های دیگر مهمانان پیدا کند.
تحلیل اثرات و سطح دسترسی
- نوع حمله: از راه دور (Remote)، اما اثرات آن محدود به محیط فیزیکی هتل یا ملک آسیب‌دیده است.
- بردار حمله: یک کاربر با دسترسی محدود (Low Privilege) می‌تواند بدون نیاز به تعامل کاربر دیگر (UI:N)، این حمله را اجرا کند.
- تاثیرات: نقض شدید محرمانگی (Confidentiality) و یکپارچگی (Integrity) به دلیل دسترسی فیزیکی به محیط‌های خصوصی.
وضعیت اصلاحیه و توصیه‌ها
طبق گزارش‌های دریافتی، این آسیب‌پذیری در تاریخ ۱۹ سپتامبر ۲۰۲۶ برطرف شده است. با این حال، به مدیران امنیت و SOC توصیه می‌شود موارد زیر را بررسی کنند:
- تایید استقرار اصلاحیه سمت سرور (Server-side Remediation) در تمامی املاکی که از این سرویس استفاده می‌کنند.
- دریافت تاییدیه کتبی مبنی بر اینکه درخواست‌های باز کردن قفل اکنون در سمت سرور با رزرو فعال مهمان تطبیق داده می‌شوند.
- در صورت عدم اطمینان از به‌روزرسانی، نظارت دقیق بر سیستم‌های باز کردن قفل موبایلی یا غیرفعال کردن موقت آن‌ها و جایگزینی با دسترسی‌های صادر شده توسط پذیرش (Front-desk).
این ضعف امنیتی تحت دسته‌بندی CWE-639 (دور زدن احراز هویت از طریق کلیدهای تحت کنترل کاربر) قرار می‌گیرد.
