Bug crítico permite espionagem em milhões de dispositivos
Os pesquisadores de segurança descobriram outra vulnerabilidade crítica da cadeia de suprimentos da IoT que afeta milhões de dispositivos, o que pode permitir que os invasores espionem as imagens das câmeras em tempo real.
A Mandiant revelou o bug CVE-2021-28372 ontem, depois de relatá-lo à Cybersecurity and Infrastructure Security Agency (CISA).
Afeta dispositivos que usam a plataforma “Kalay” da empresa taiwanesa ThroughTek , que fabrica software para OEMs para uso em câmeras IP, câmeras de monitoramento de bebês e animais de estimação, gravadores de vídeo digital (DVRs) e muito mais.
Embora a Mandiant não tenha sido capaz de determinar exatamente quantos dispositivos são afetados, a empresa alertou que, de acordo com ThroughTek, mais de 83 milhões estão usando Kalay.
A notícia chega apenas alguns meses depois que a Nozomi Networks descobriu um bug crítico no SDK P2P do ThroughTek. No entanto, ao contrário dessa falha, esta permite que os agentes da ameaça se comuniquem com dispositivos remotamente, abrindo a porta para ataques de execução remota de código, afirmou Mandiant.
Dito isso, a exploração está longe de ser fácil.
“Um invasor exigiria conhecimento abrangente do protocolo Kalay e a capacidade de gerar e enviar mensagens. O invasor também precisaria obter UIDs Kalay por meio de engenharia social ou outras vulnerabilidades em APIs ou serviços que retornam UIDs Kalay ”, explicou a empresa de segurança.
“A partir daí, um invasor seria capaz de comprometer remotamente os dispositivos afetados que correspondem aos UIDs obtidos.”
A Mandiant trabalhou em estreita colaboração com a ThroughTek na divulgação de vulnerabilidades, e tanto ela quanto a CISA recomendam qualquer organização que use Kalay para atualizar para a nova versão 3.1.10 sem demora. As empresas afetadas também devem habilitar o DTLS, que protege os dados em trânsito, e o AuthKey, que adiciona uma camada extra de autenticação durante a conexão do cliente.
Andy Norton, oficial europeu de risco cibernético da Armis, alertou que os dispositivos IoT são cada vez mais o elo mais fraco na cadeia de segurança corporativa.
“Apesar dos dispositivos IoT apresentarem riscos muito semelhantes para as organizações, atualmente há uma falta de controles de mitigação em comparação aos dispositivos de TI”, acrescentou.
“Compreender a finalidade de um dispositivo de IoT e monitorar as alterações na forma como ele se comporta … é o método mais moderno para o gerenciamento de riscos de dispositivos de IoT.”
Quer aprender mais sobre desenvolvimento seguro de software para evitar bugs como esses? Acesse o curso de Desenvolvimento Seguro de Software Avançado na Udemy com um preço promocional!
Você precisa fazer log in para comentar.