Güvenlik araştırmacıları, dünyadaki on milyonlarca cihazı etkileyen kritik bir güvenlik açığı üzerinde alarmı yakıyorlar.
Güvenlik sorunu, video ve gözetim çözümleri sunan çeşitli üreticilerin yanı sıra, KALAY ağını kolay bağlantı ve ilgili bir uygulama ile iletişim için kullanan ev otomasyonu IOT sistemlerini de etkiler.
Uzaktan bir saldırgan, canlı ses ve video akışlarına erişmek için hatayı kaldırabilir veya savunmasız cihazın kontrolünü üstlenebilir.
Mandiant Red ekibindeki araştırmacılar, 2020'nin sonunda güvenlik açığını keşfetti ve ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı ile ve açıklamayı koordine etmek ve azaltma seçenekleri oluşturmak için çalıştı.
CVE-2021-28372 olarak izlenirken, sorun 10 üzerinden 9.6 olan bir ciddiyet skoru alan bir cihaz kimliğe bürünme güvenlik açığıdır. Mobil ve masaüstü uygulamalarına yerleşik bir yazılım geliştirme kiti (SDK) olarak uygulanan Kalay Protokolünü etkiler. .
Mandiant'ın Jake Valletta, Erik Barzdukas ve Dillon Franke, Thtek'in Kalay Protokolüne baktı ve Kalay Ağı'ndaki bir cihazın kaydedilmesinin yalnızca cihazın benzersiz tanımlayıcısını (UID) gerekli olduğunu buldu.
Bu liderliğin ardından araştırmacılar, mobil uygulama gibi bir Kalay istemcisinin genellikle UID'yi, IOT cihazının satıcısı tarafından barındırılan bir Web API'sini alır.
Hedef sistemin UID'sine sahip bir saldırgan, Kalay Ağı'na kayıt yaptırırlar ve tüm istemci bağlantı girişimlerini alırlar.
Bu, mağdur cihaz ses-video verilerine uzaktan erişim sağlayan oturum açma kimlik bilgilerini almalarını sağlar.
Araştırmacılar, bu tür bir erişimin, cihazın uygulanan RPC'de (uzaktan prosedür çağrısı) arayüzünde güvenlik açıkları ile birleştirilmiş olduğunu söylüyor.
"Mandiant, Kalay verilerini işleyen IOT cihazlarındaki ikili dosyaların tipik olarak ayrıcalıklı kullanıcı kökü olarak çalıştığını ve adres alanı düzeni randomizasyonu (" ASLR "), Platform Bağımsız Yürütme (" Pasta "), Yığın Kanaryaları ve NX gibi ortak ikili korumalardan yoksun olduğunu gözlemledi. bit "- mandiant
Bu güvenlik açığı araştırmaları sırasında mandiant araştırmacılar, Kalay Protokolünün fonksiyonel bir şekilde uygulanmasını geliştirdiler, bu da cihazları keşfetmelerine, kaydetmelerine, uzak istemcilere bağlamalarına, ses ve video verilerine bağlanmalarını ve işleme koymalarına izin verdi.
Ayrıca, KALAY ağında bir cihazı taklit etmelerine izin veren konsept kanıtı (POC) istismar kodunu yarattılar. Feat gösteren bir video aşağıda mevcuttur:
TOTTEK'ten gelen en son verilerle, Kalay platformu 83 milyondan fazla aktif cihaza sahiptir ve her ay 1 milyardan fazla bağlantıyı yönetir.
20 Temmuz'da SDK'sındaki (CVE-2021-32934) içindeki bir başka eleştirel kırılganlık için yayınlanan ve 13 Ağustos'ta güncellenen bir güvenlik danışmanlığında, CVE-2021-28372 ile ilişkili riskleri azaltmak için müşterilerin takip edebileceği rehberlik sağlar:
Mantive ayrıca, API'lerde veya Kalay UID'lerini döndürebilen diğer hizmetler üzerinde tanımlanan güvenlik kontrollerinin gözden geçirilmesini önerir.
Araştırmacılar, cihazın kimliğe bürünme kırılganlığını sömüren bir saldırganın Kalay Protokolü'nün bilgili olması gerektiğini ve mesajların nasıl oluşturulması ve teslim edildiğine dikkat edin.
UID'lerin elde edilmesi aynı zamanda saldırgandan (sosyal mühendislik, diğer güvenlik açıklarından yararlanma) bazı çaba gerektiren bir görevdir.
Etkilenen cihazların sahipleri, riski azaltmak için ne yapabilir?
Ayrıca, güvenilmeyen bir ağdan (örneğin, genel wifi) iot cihazlarına bağlanmayı önlemeliler.
Kalay platformu, çok sayıda üreticiden cihazlar tarafından kullanıldığı için, etkilenen markalarla bir liste oluşturmak zordur.
Güncelleme [17:45 EST]: CISA, teknik detaylar ve azaltma önerileri sağlayan CVE-2021-28372 CVE-2021-28372 için bir güvenlik danışmanlığı yayımladı.
Microsoft, IOT, OT cihazlarında kritik kod yürütme hatalarını bulur
Fortinet, uzak sunucu devralmasına izin veren sıfır gün yamalı gecikmeler
Cisco, hayat sonunda VPN yönlendiricilerinde sıfır günlük RCE güvenlik açığını düzeltmez
Cisco: Firewall Manager RCE Hata, sıfır gündür, yama gelen
CISA: Badalloc, BlackBerry QNX kullanarak kritik altyapıyı etkiler.
Kaynak: Bleeping Computer