El error Wemo Smart Plug sin parches abre innumerables redes a ataques cibernéticos

El Wemo Mini Smart Plug V2, que permite a los usuarios controlar de forma remota cualquier cosa conectada a través de una aplicación móvil, tiene una falla de seguridad que permite a los atacantes cibernéticos activar una variedad de malos resultados. Estos incluyen encender y apagar los dispositivos electrónicos de forma remota, así como la capacidad de profundizar en una red interna o cambiar a dispositivos adicionales.

El enchufe inteligente es utilizado tanto por consumidores como por empresas. Se enchufa en una toma de corriente existente y se conecta a una red Wi-Fi interna y al Internet más amplio a través de puertos Universal Plug-n-Play (UPNP). Luego, los usuarios pueden controlar el dispositivo a través de una aplicación móvil, lo que esencialmente proporciona una forma de hacer que las lámparas, los ventiladores y otros productos antiguos sean «inteligentes». La aplicación se integra con Alexa, Google Assistant y Apple Home Kit al tiempo que ofrece funciones adicionales como programación para mayor comodidad.

El error (CVE-2023-27217) es un Vulnerabilidad de desbordamiento de búfer Esto afecta el modelo F7C063 del dispositivo y permite la inyección de comandos remotos, según los investigadores de Sternum que lo descubrieron. Desafortunadamente, cuando le pidieron una solución al fabricante del dispositivo Belkin, les dijeron que no habría actualización de firmware porque el dispositivo estaba obsoleto.

«A estas alturas, es seguro asumir que muchos de estos dispositivos todavía se usan en la naturaleza», dicen. explicado en un análisis el 16 de mayo, citando las 17,000 reseñas y la calificación de cuatro estrellas del enchufe inteligente en Amazon. «Es probable que las ventas totales solo en Amazon sean de cientos de miles».

Igal Zeifman, vicepresidente de marketing de Sternum, le dijo a Dark Reading que esta es una estimación de superficie de ataque baja. “Se nota que somos muy conservadores”, afirma. “Teníamos tres solo en nuestro laboratorio cuando comenzó la investigación. Ahora ya no están conectados”.

Agrega: «Si las empresas están utilizando esta versión del complemento Wemo en su red, deberían dejar de usarlo o (al menos) asegurarse de que los puertos Universal Plug-n-Play (UPNP) no estén expuestos al acceso remoto. Si el dispositivo juega un papel crítico o está conectado a una red o activo crítico, no está en la mejor forma”.

CVE-2023-27217: ¿Qué hay en un nombre?

La falla está en la forma en que el firmware maneja el nombre del enchufe inteligente. Si bien «Wemo mini 6E9» es el nombre predeterminado del dispositivo, los usuarios pueden cambiarle el nombre a lo que quieran usando la variable establecida como la variable «FriendlyName» en el firmware, cambiándola a algo como «toma de cocina» o algo así. similar.

“Esta opción para la entrada del usuario ya despertó nuestros sentidos de Spidey, especialmente cuando vimos que cambiar el nombre en la aplicación venía con algunas medidas de seguridad. [specifically a 30-character limit]»Anotaron los investigadores de Sternum. «Para nosotros, esto planteó inmediatamente dos preguntas: ‘¿Quién lo dice?’ y ‘¿Qué pasa si logramos hacer más de 30 caracteres?’”

Dado que la aplicación móvil no les permitía crear un nombre de más de 30 caracteres, decidieron conectarse directamente al dispositivo a través de pyWeMo, un módulo Python de código abierto para descubrir y controlar dispositivos WeMo. Descubrieron que al pasar por alto la aplicación, podían pasar por alto la barrera de seguridad e ingresar con éxito un nombre más largo.

«La restricción solo fue aplicada por la aplicación en sí y no por el código de firmware», señalaron. «La validación de entrada como esta no debe hacerse solo en el ‘nivel de superficie'».

Mientras los investigadores observaban cómo la estructura de la memoria lidiaba con el desbordamiento de la variable FriendlyName, descubrieron que cualquier nombre de más de 80 caracteres corrompería los metadatos del montón. Estos valores dañados se usaron luego en operaciones de montón posteriores, lo que provocó breves bloqueos. Esto, según el análisis, provocó un desbordamiento del búfer y la capacidad de controlar la reasignación de memoria resultante.

«Es una buena llamada de atención sobre el riesgo de usar dispositivos conectados sin ningún tipo de seguridad en el dispositivo, que es el 99,9 % de los dispositivos en la actualidad», dice Zeifman.

Cuidado con la explotación fácil

Si bien Sternum no publica un exploit de prueba de concepto ni enumera cómo se vería un flujo de ataque en el mundo real en la práctica, Zeifman dice que la vulnerabilidad no es difícil de explotar. Un atacante necesita acceso a la red o acceso plug-n-play universal remoto si el dispositivo está conectado a Internet.

«Aparte de eso, es un desbordamiento de búfer trivial en un dispositivo con un montón ejecutable», explica. «Los bastiones más duros han caído».

Señaló que era probable que los ataques también pudieran llevarse a cabo a través de la opción de infraestructura en la nube de Wemo.

«Los productos Wemo también implementan un protocolo en la nube (esencialmente, un túnel STUN) destinado a eludir Network Address Traversal (NAT) y permitir que la aplicación móvil opere el punto de venta a través de Internet», dice Zeifman. «Si bien no hemos profundizado demasiado en el protocolo de la nube de Wemo, no nos sorprendería si este ataque también pudiera implementarse de esta manera».

Si no hay un parche, los usuarios del dispositivo pueden tomar algunas medidas correctivas. Por ejemplo, mientras el enchufe inteligente no esté conectado a Internet, el atacante tendría que acceder a la misma red, lo que complicaría la explotación.

Sternum hizo las siguientes recomendaciones sensatas:

• Evite exponer los puertos UPNP del Wemo Smart Plug V2 a Internet, ya sea directamente o mediante el reenvío de puertos.
• Si está utilizando Smart Plug V2 en una red confidencial, debe asegurarse de que esté correctamente segmentada y que el dispositivo no pueda comunicarse con otros dispositivos confidenciales en la misma subred.

La seguridad de IoT continúa rezagada

En términos de hallazgos más amplios de la investigación, los resultados destacan el hecho de que los proveedores de Internet de las cosas (IoT) están haciendo esto. Todavía tengo problemas con la seguridad integrada – lo que las organizaciones deben considerar al instalar un dispositivo inteligente.

«Creo que ese es el quid de esta historia: eso es lo que sucede cuando los dispositivos se envían sin ninguna protección en el dispositivo», señala. «Si solo cuentas con eso parches de seguridad receptivos, como hacen la mayoría de los fabricantes de dispositivos hoy en día, dos cosas son seguras. Primero, siempre estarás un paso por detrás del atacante; y segundo, un día estos parches dejarán de llegar.

Los dispositivos IoT deben venir con «el mismo nivel de seguridad de punto final que esperamos de otros activos, nuestras computadoras de escritorio, portátiles, servidores, etc.», dice. «Si su monitor de frecuencia cardíaca no es tan confiable como la computadora portátil para juegos, algo salió terriblemente mal, y así fue».