Encuentran 47 nuevas vulnerabilidades en 23 dispositivos inteligentes

Cerraduras de puertas, candados, termostatos, refrigeradores, sillas de ruedas y paneles solares están entre los dispositivos del Internet de las Cosas que fueron analizados por hackers éticos durante la IoT Village que tuvo lugar en la conferencia de seguridad DEF CON en agosto.

47 nuevas vulnerabilidades que afectan a 23 dispositivos de 21 fabricantes se dieron a conocer durante las conversaciones de seguridad de IoT, talleres y concursos de hacking en el sitio.

Los tipos de vulnerabilidades encontradas variaron entre pobres decisiones de diseño, como el uso de contraseñas por defecto en texto plano y no modificables, así como desbordamientos de buffer y la inyección de comandos.

En las cerraduras de las puertas y candados de proveedores como Quicklock, iBlulock, Plantraco, Ceomate, Elecycle, Vians, Lagute, Okidokeys y Danalock se encontró que eran vulnerables al filtrado de contraseñas y los ataques de replicación en los cuales un comando capturado se puede reproducir más tarde para abrir las cerraduras.

Una silla de ruedas de un vendedor desconocido tenía una vulnerabilidad que podría ser explotada para desactivar una característica de seguridad y tomar el control del dispositivo. Un termostato de Trane utiliza un protocolo de texto plano débil que podría permitir a atacantes provocar calentamiento excesivo, fallas de horno o tuberías de agua congeladas mediante la manipulación de la funcionalidad del termostato.

Varios problemas de seguridad, incluyendo una contraseña codificada, un defecto de inyección de comandos, una conexión de punto de acceso abierto y una falta de segmentación de la red se encuentran en un dispositivo de gestión de paneles solares de energía Tigro.

Otro investigador descubrió que podía convertir el acceso para invitados de una cerradura inteligente de un vendedor llamado August a un acceso de administrador. Al ganar acceso a corto plazo al bloqueo por teléfono también se podría convertir el acceso de administración a largo plazo.

Los dispositivos de redes domésticas no se quedaron fuera. Un desbordamiento de búfer y un cross-site de falsificación de petición fue encontrado en el extensor de alcance inalámbrico de Belkin F9K1122 y un desbordamiento de búfer se encontró en el router inalámbrico ZyXel NBG6716. Las fallas podrían ser explotadas para tomar el control de las redes locales.

Ver información original al respecto en Fuente:
http://www.seguridad.unam.mx/noticia/?noti=3022