Descubiertas vulnerabilidades críticas en el sistema operativo de Amazon: FreeRTOS

Un investigador ha descubierto varias vulnerabilidades críticas en FreeRTOS las cuales exponen una amplia gama de dispositivos IoT al ataque de ciberdelincuentes.

¿Qué es FreeRTOS?

Se trata de un sistema operativo de código abierto para sistemas integrados que se ha portado a más de 40 microcontroladores utilizados hoy día en IoT, aeroespacial e industria médica entre otros.

Este sistema ha sido diseñado para ejecutar aplicaciones que necesitan una sincronización muy precisa y un altro grado de confiabilidad. Un marcapasos es un ejemplo de uso de este sistema integrado en tiempo real que contrae el músculo cardíaco en el momento adecuado.

Desde finales del año pasado FreeRTOS está siendo administrado por Amazon, quien ha estado agregando modulos para mejorar la seguridad y disponibilidad en el sistema.

Vulnerabilidades en FreeRTOS:

Oir Karliner, investigador de seguridad de Zimperium Security Labs (zLabs), ha descubierto un total de 13 vulnerabilidades en la pila TCP/IP de FreeRTOS que también afectan a las variantes distribuidas por Amazon.

Lista de CVE:

CVE	Description
CVE-2018-16522	Remote code execution
CVE-2018-16525	Remote code execution
CVE-2018-16526	Remote code execution
CVE-2018-16528	Remote code execution
CVE-2018-16523	Denial of service
CVE-2018-16524	Information leak
CVE-2018-16527	Information leak
CVE-2018-16599	Information leak
CVE-2018-16600	Information leak
CVE-2018-16601	Information leak
CVE-2018-16602	Information leak
CVE-2018-16603	Information leak
CVE-2018-16598	Other

Las vulnerabilidades podrían permitir a los atacantes: desbloquear el dispositivo de destino, filtrar información de su memoria, ejecutar código malicioso, etc.

"Durante nuestra investigación, descubrimos múltiples vulnerabilidades dentro de la pila TCP/IP de FreeRTOS y en los módulos de conectividad seguras de AWS. Las mismas vulnerabilidades están presentes en el componente TCP/IP de WHIS Connect para OpenRTOS/SafeRTOS", señala el investigador.

Zimperium informó responsablemente de las vulnerabilidades a Amazon y la compañía ayer implementó parches de seguridad que corregían estos fallos.

Daniel Púa
@devploit
dpua@hispasec.com

Más información:

Post de Ori Karliner:
https://blog.zimperium.com/freertos-tcpip-stack-vulnerabilities-put-wide-range-devices-risk-compromise-smart-homes-critical-infrastructure-systems/

Información de los parches de Amazon:

https://github.com/aws/amazon-freertos/blob/master/CHANGELOG.md

Vulnerabilidad de falsificación de sitios web descubierta en Safari

Se ha descubierto una vulnerabilidad que podría permitir a los atacantes falsificar direcciones de sitios web legítimos para robar credenciales

Si bien Microsoft solucionó el mes pasado esta misma vulnerabilidad que le afectaba en su navegador Edge, Safari aún no está parcheado.

El fallo ha sido descubierto por el investigador de seguridad Rafay Baloch. La vulnerabilidad (CVE-2018-8383) se debe a un problema de condición de carrera que permite a JavaScript actualizar la dirección de la página web en la URL mientras se carga la página. 

Funcionamiento de la vulnerabilidad 

La explotación de esta vulnerabilidad podría permitir que un atacante inicialmente comience a cargar una página legítima y luego reemplazar el código en la web por uno malicioso.

"Al solicitar datos de un puerto inexistente, la dirección se conservó y, por lo tanto, debido a una condición de carrera sobre un recurso solicitado desde un puerto inexistente combinado con el retraso introducido por la función setInterval logró activar la suplantación de barra de direcciones", explica Baloch en su blog.

Prueba de concepto

Los desarrolladores de Microsoft arreglaron el fallo antes de que pasara la fecha límite de 90 días desde que se le informó, pero Apple aún no ha puesto solución al error.

Baloch sigue sin exponer el código de la prueba de concepto de este último, pero dado que el de Microsoft Edge es público y el fallo es muy similar, cualquier persona con un conocimiento decente de JavaScript podría hacerlo funcionar en Safari.

El propio investigador asegura que este fallo no afecta ni a Chrome ni a Firefox.
 

Daniel Púa
@devploit
dpua@hispasec.com

Más información: 

Blog de Rafay Baloch:

https://www.rafaybaloch.com/2018/09/apple-safari-microsoft-edge-browser.html

Fallo en la función de Asistencia Remota de Windows permite robar información

Se descubre vulnerabilidad crítica que afecta a todas las versiones de Windows.


 
La Asistencia Remota de Windows es una herramienta preinstalada que permite que alguien de confianza tome el control de tu PC. Usualmente se utiliza para prestar ayuda sin necesidad de desplazamiento.

Esta herramienta está basada en RDP (Remote Desktop Protocol) para establecer las conexiones de manera segura. Sin embargo, el investigador de Trend Micro "Nabeel Ahmed" ha descubierto una vulnerabilidad de fuga de información (CVE-2018-0878) que podría permitir a los atacantes obtener información para comprometer el sistema. El fallo de seguridad reside en la forma que Windows procesa las Entidades Externas XML (XXE).

Microsoft corrigió la vulnerabilidad este mismo mes. Por ello, el investigador ha lanzado los detalles técnicos y el código de la prueba de concepto.

 

El ataque se basa en la inclusión de carga maliciosa en la invitación de acceso. Al configurar la asistencia remota, Windows ofrece dos opciones: invitar a alguien o responder. Al escoger la opción invitar a alguien, se genera un archivo de invitación que contiene una serie de parámetros XML. Como el analizador no valida el contenido, se puede modificar este archivo para que envíe el contenido malicioso a través del mismo.

Por tanto se recomienda a todos los usuarios que actualicen Windows a la última versión.

Daniel Púa
@dpua_
dpua@hispasec.com

Más información:

CVE-2018-0878:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0878

Más de 70.000 vulnerabilidades

Según ha informado Mitre.org, el pasado 24 de junio la lista de CVEs sobrepasó los 70.000 identificadores únicos con nombres públicamente conocidos.  

El CVE es el Common Vulnerabilities and Exposures, un estándar (administrado por la organización Mitre.org) que se encarga de identificar unívocamente a las vulnerabilidades. El CVE ha tenido gran aceptación entre todos los fabricantes porque la mayor parte de las veces es muy complejo saber a qué vulnerabilidad nos estamos refiriendo solo por ciertas características. Se hace necesario una especie de número de identidad único para cada fallo, puesto que en ocasiones son tan parecidas, complejas o se ha ofrecido tan poca información sobre ellas que la única forma de diferenciar las vulnerabilidades es por su CVE.

La lista de identificadores CVEs, también conocidos en la comunidad como nombres CVE, números CVE, entradas CVE, CVE-IDs o simplemente CVEs, empezó en 1999 con solo 321 entradas. En la actualidad se ha convertido en un estándar internacional para la identificación de vulnerabilidades. Tanto los profesionales de la seguridad, como los fabricantes de todo el mundo usan el identificador CVE como un método estándar que no solo permite identificar las vulnerabilidades; sino que también facilita el trabajo de clasificación y las referencias cruzadas entre productos, servicios y repositorios.

El identificador CVE, tiene la forma CVE-AAAA-NNNN (p.ej. CVE-2015-1234), donde AAAA representa el año en que se reportó o se conoció la vulnerabilidad, y el número NNNN se asigna según el organismo tiene conocimiento de la vulnerabilidad. Hasta 2014 se estimaba que con cuatro dígitos para el número de vulnerabilidad era suficiente para identificar todas las vulnerabilidades del año. Pero dado el aumento del número de vulnerabilidades anuales, se estimó la necesidad de ampliar el número de dígitos y en la actualidad no hay un límite de dígitos.

Cada uno de los 70.000 identificadores de la Lista CVE incluye el identificador CVE, una breve descripción de la vulnerabilidad y todas las referencias pertinentes como análisis de la vulnerabilidad, avisos o parches.

La lista de CVEs se encuentra disponible en https://cve.mitre.org/cve desde donde se pueden realizar consultas individuales o descargar la lista completa en diversos formatos.

Más información:

CVE List Surpasses 70,000 CVE-IDs

https://cve.mitre.org/news/index.html#june262015_CVE_List_Surpasses_70,000_CVE_IDs

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero