Uma análise de segurança da plataforma de nuvem OvrC identificou 10 vulnerabilidades que, quando encadeadas, poderiam permitir que atacantes executassem código remotamente em dispositivos conectados.
"Atacantes que conseguirem explorar essas vulnerabilidades podem acessar, controlar e interromper dispositivos suportados pelo OvrC; entre eles, estão fontes de alimentação inteligentes, câmeras, roteadores, sistemas de automação residencial e muito mais," disse o pesquisador da Claroty, Uri Katz, em um relatório técnico.
A Snap One's OvrC, pronunciado "oversee", é promovida como uma "plataforma de suporte revolucionária" que permite a proprietários de residências e negócios gerenciar, configurar e solucionar problemas remotamente em dispositivos IoT na rede. De acordo com o site da empresa, as soluções OvrC estão implementadas em mais de 500.000 locais de usuários finais.
Segundo um aviso coordenado emitido pela Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA), a exploração bem-sucedida das vulnerabilidades identificadas poderia permitir que um atacante "se passasse por dispositivos, executasse código arbitrário e divulgasse informações sobre o dispositivo afetado."
As falhas foram identificadas como impactando tanto o OvrC Pro quanto o OvrC Connect, com a empresa lançando correções para oito delas em maio de 2023 e as duas restantes em 12 de novembro de 2024.
"Muitos desses problemas que encontramos surgem da negligência na interface dispositivo-nuvem," comentou Katz. "Em muitos casos, o problema central é a capacidade de reivindicar dispositivos IoT devido a identificadores fracos ou bugs semelhantes. Essas questões vão desde controles de acesso fracos, bypass de autenticação, validação de entrada deficiente, credenciais embutidas e falhas que permitem a execução remota de código."
Como resultado, um atacante remoto poderia explorar essas vulnerabilidades para contornar firewalls e obter acesso não autorizado à interface de gerenciamento baseada na nuvem. Pior ainda, esse acesso pode ser posteriormente utilizado para enumerar e perfilar dispositivos, sequestrar dispositivos, elevar privilégios e até mesmo executar código arbitrário.
As vulnerabilidades mais graves incluem:
CVE-2023-28649 (Pontuação CVSS v4: 9.2), que permite a um atacante se passar por um hub e sequestrar um dispositivo.
CVE-2023-31241 (Pontuação CVSS v4: 9.2), que permite a um atacante reivindicar dispositivos não registrados arbitrariamente, contornando a necessidade de um número de série.
CVE-2023-28386 (Pontuação CVSS v4: 9.2), que permite o upload de atualizações de firmware arbitrárias, resultando na execução de código.
CVE-2024-50381 (Pontuação CVSS v4: 9.1), que permite a um atacante se passar por um hub e desvincular dispositivos arbitrariamente, explorando subsequentemente outras falhas para reivindicá-los.
"Com mais dispositivos sendo conectados diariamente e o gerenciamento em nuvem se tornando o principal meio de configurar e acessar serviços, agora mais do que nunca, é imperativo que fabricantes e provedores de serviços de nuvem assegurem a segurança desses dispositivos e conexões," disse Katz. "Os resultados negativos podem afetar fontes de alimentação conectadas, roteadores comerciais, sistemas de automação residencial e muito mais que estão ligados à nuvem OvrC."
Essa revelação ocorre enquanto a Nozomi Networks detalha três falhas de segurança que impactam o EmbedThis GoAhead, um servidor web compacto usado em dispositivos embarcados e IoT, que podem levar a uma condição de negação de serviço (DoS). As vulnerabilidades (CVE-2024-3184, CVE-2024-3186 e CVE-2024-3187) foram corrigidas na versão 6.0.1 do GoAhead.
Nos últimos meses, várias deficiências de segurança também foram descobertas no serviço web exacqVision da Johnson Controls, que poderiam ser combinadas para assumir o controle de streams de vídeo de câmeras de vigilância conectadas ao aplicativo e roubar credenciais.
Via - THN
Comments