Ago 18, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

Vulnerabilità negli SDK di Realtek e nella piattaforma cloud di Kalay: milioni di device della “Internet of Things” sono a rischio attacco.

Nessuna pace per il mondo IoT: nel giro di pochi giorni è emersa infatti una serie di vulnerabilità che mettono a rischio milioni di dispositivi di ogni genere.

Il primo pacchetto di bug riguarda gli SDK (Software Development Kit) di Realtek, una delle aziende che fornisce la maggior parte dei componenti per l’assemblaggio di dispositivi “smart”.

Come segnalato dalla stessa azienda in un report pubblicato su Internet, le vulnerabilità che interessano i device di numerosi produttori tra cui AIgital; ASUSTek; Beeline; Belkin; Buffalo; D-Link; Edimax; Huawei; LG; Logitech; MT-Link; Netis; Netgear; Occtel; PATECH; TCL; Sitecom; TCL; ZTE e Zyxel, sono quattro.

Si tratta di falle che riguardano la configurazione Wi-Fi e i protocolli UDP e HTTP, che comportano la possibilità di indurre un buffer overflow sui dispositivi vulnerabili.

I bug nei pacchetti di sviluppo (CVE-2021-35392; CVE-2021-35393; CVE-2021-35394 e CVE-2021-35395) interessano centinaia di migliaia di dispositivi e, come spiegano nel loro report i ricercatori di IoT Inspector, la loro presenza apre la strada ad attacchi che consentirebbero di prendere il completo controllo dei device.

Il secondo allarme riguarda Kalay, la piattaforma cloud utilizzata da Through Tek per la gestione in remoto dei dispositivi IoT.

In questo caso la vulnerabilità è una sola (CVE-2021-28372) ma sufficientemente grave da mettere a rischio milioni di dispositivi IoT che potrebbero essere utilizzati per spiare a distanza i legittimi proprietari.

Nel report pubblicato su Internet dai ricercatori di Mandiant, emerge come la falla di sicurezza sia stata scoperta alla fine del 2020, ma la sua esistenza sia stata resa pubblica solo ora a causa della complessità legata al processo di patching.

Stando ai dati forniti dalla stessa Through Tek, infatti, la piattaforma gestisce oltre 83 milioni di dispositivi e più di un miliardo di connessioni al mese.

Numeri impressionanti, che alla luce delle caratteristcihe del bug avrebbero potuto portare a un vero disastro in caso di sfruttamento di un eventuale exploit. La falla, infatti, consentirebbe sia di dirottare i collegamenti, sia di utilizzare le credenziali di accesso per prendere il controllo del dispositivo.

La tecnica, in pratica, sfrutta la possibilità di utilizzare l’identificativo di un dispositivo per registrare un nuovo device che sovrascrive quello originale. In questo modo, il pirata informatico può sottrarre le credenziali di accesso dell’utente legittimo e prendere il controllo dell’account.

Il bug è stato corretto con la versione 3.1.10 del software di controllo, ma gli esperti suggeriscono anche di attivare le funzionalità DTLS, che protegge i dati in transito, e AuthKey, che aggiunge un livello adizionale di protezione nell’autenticazione.