Pésima seguridad de IoT
DTEN fabrica pantallas inteligentes y pizarras para sistemas de videoconferencia. Forescout descubrió que su seguridad es terrible:
En full, nuestros investigadores descubrieron cinco vulnerabilidades de cuatro tipos diferentes:
- Exposición de datos: los archivos PDF de pizarras blancas compartidas (p. Ej., Notas de reuniones) y otros archivos confidenciales (p. Ej., OTA – actualizaciones inalámbricas) se almacenaron en un depósito de AWS S3 de acceso público que también carecía de cifrado TLS (CVE-2019-16270 , CVE-2019-16274).
- Servidor internet no autenticado: un servidor net que ejecuta el sistema operativo Android en el puerto 8080 revela todas las pizarras almacenadas localmente en el dispositivo (CVE-2019-16271).
- Ejecución de código arbitrario: el acceso de shell raíz no autenticado a través de Android Debug Bridge (ADB) conduce a la ejecución de código arbitrario y la administración del sistema (CVE-2019-16273).
- Acceso a la configuración de fábrica: proporciona acceso administrativo completo y, por lo tanto, una capacidad encubierta para capturar datos de host de Home windows desde Android, incluido el contenido de la reunión de Zoom (audio, video, pantalla compartida) (CVE-2019-16272).
Estas no son vulnerabilidades sutiles. Estas son decisiones estúpidas de diseño hechas por ingenieros que no tenían notion de cómo crear un sistema seguro. Y este, en pocas palabras, es el problema con el Web de las cosas.
A partir de una Artículo cableado:
Un problema que llamó la atención de los investigadores: el sistema DTEN almacenó notas y anotaciones escritas a través de la función de pizarra en un cubo de Amazon Website Providers que se expuso en Web abierto. Esto significa que los clientes podrían haber accedido a los archivos PDF de las diapositivas, capturas de pantalla y notas de los demás simplemente cambiando los números en la URL que usaron para ver los suyos. O cualquiera podría haber capturado de forma remota todo el tesoro de datos de los clientes. Además, DTEN no se había configurado Cifrado world wide web HTTPS en el servidor net del cliente para proteger las conexiones de miradas indiscretas. DTEN solucionó estos dos problemas el 7 de octubre. Unas semanas más tarde, la compañía también solucionó un problema similar de acceso al PDF de la pizarra que habría permitido que cualquier persona en la pink de una empresa acceda a todos sus datos de pizarra almacenados.
(…)
Los investigadores también descubrieron dos formas en que un atacante en la misma pink que los dispositivos DTEN podría manipular las unidades de videoconferencia para monitorear todas las fuentes de movie y audio y, en un caso, tomar el management overall. El components DTEN ejecuta Android principalmente, pero usa Microsoft Home windows para Zoom. Los investigadores descubrieron que pueden acceder a una herramienta de desarrollo conocida como «Android Debug Bridge», ya sea de forma inalámbrica o a través de puertos USB o ethernet, para hacerse cargo de una unidad. El otro error también se relaciona con la configuración de fábrica de Android expuesta. Los investigadores señalan que intentar implementar ambos sistemas operativos crea más oportunidades para configuraciones erróneas y exposición. DTEN dice que enviará parches para ambos errores para fin de año.
Boing Boing artículo.
Publicado el 19 de diciembre de 2019 a las 6:31 a.m.
•
comentarios
