Descubiertas vulnerabilidades críticas en el sistema operativo de Amazon: FreeRTOS

Un investigador ha descubierto varias vulnerabilidades críticas en FreeRTOS las cuales exponen una amplia gama de dispositivos IoT al ataque de ciberdelincuentes.

¿Qué es FreeRTOS?

Se trata de un sistema operativo de código abierto para sistemas integrados que se ha portado a más de 40 microcontroladores utilizados hoy día en IoT, aeroespacial e industria médica entre otros.

Este sistema ha sido diseñado para ejecutar aplicaciones que necesitan una sincronización muy precisa y un altro grado de confiabilidad. Un marcapasos es un ejemplo de uso de este sistema integrado en tiempo real que contrae el músculo cardíaco en el momento adecuado.

Desde finales del año pasado FreeRTOS está siendo administrado por Amazon, quien ha estado agregando modulos para mejorar la seguridad y disponibilidad en el sistema.

Vulnerabilidades en FreeRTOS:

Oir Karliner, investigador de seguridad de Zimperium Security Labs (zLabs), ha descubierto un total de 13 vulnerabilidades en la pila TCP/IP de FreeRTOS que también afectan a las variantes distribuidas por Amazon.

Lista de CVE:

CVE	Description
CVE-2018-16522	Remote code execution
CVE-2018-16525	Remote code execution
CVE-2018-16526	Remote code execution
CVE-2018-16528	Remote code execution
CVE-2018-16523	Denial of service
CVE-2018-16524	Information leak
CVE-2018-16527	Information leak
CVE-2018-16599	Information leak
CVE-2018-16600	Information leak
CVE-2018-16601	Information leak
CVE-2018-16602	Information leak
CVE-2018-16603	Information leak
CVE-2018-16598	Other

Las vulnerabilidades podrían permitir a los atacantes: desbloquear el dispositivo de destino, filtrar información de su memoria, ejecutar código malicioso, etc.

"Durante nuestra investigación, descubrimos múltiples vulnerabilidades dentro de la pila TCP/IP de FreeRTOS y en los módulos de conectividad seguras de AWS. Las mismas vulnerabilidades están presentes en el componente TCP/IP de WHIS Connect para OpenRTOS/SafeRTOS", señala el investigador.

Zimperium informó responsablemente de las vulnerabilidades a Amazon y la compañía ayer implementó parches de seguridad que corregían estos fallos.

Daniel Púa
@devploit
dpua@hispasec.com

Más información:

Post de Ori Karliner:
https://blog.zimperium.com/freertos-tcpip-stack-vulnerabilities-put-wide-range-devices-risk-compromise-smart-homes-critical-infrastructure-systems/

Información de los parches de Amazon:

https://github.com/aws/amazon-freertos/blob/master/CHANGELOG.md

Múltiples vulnerabilidades en Samsung SmartThings Hub

El equipo de Cisco Talos ha descubierto múltiples vulnerabilidades que podrían permitir hacerse con el control total del Hub y actuar sobre interruptores, cerraduras, termostatos, cámaras y cualquier otro dispositivo conectado a éste.

SmartThings Hub es un dispositivo que sirve para gestionar y conectar entre sí diferentes sensores y dispositivos IoT para casas inteligentes. En la última actualización de su firmware, Samsung ha solucionado más de 20 vulnerabilidades que podrían comprometer el dispositivo y afectar a los dispositivos conectados:

Dos vulnerabilidades de denegación de servicio en 'hubCore Port 39500' y en el firmware de 'ZigBee' (CVE-2018-3918 y CVE-2018-3926) podrían permitir a un atacante remoto desconectar las cámaras o interrumpir el servicio ZigBee por medio de paquetes especialmente manipulados. 

Desbordamientos de buffer y otros errores a la hora de gestionar la memoria en el componente 'video-core' de SmartThings Hub podrían permitir la ejecución de código arbitrario (CVE-2018-3863 a CVE-2018-3866, CVE-2018-3872, CVE-2018-3878, CVE-2018-3880, CVE-2018-3897, CVE-2018-3902 a CVE-2018-3906, CVE-2018-3912 a CVE-2018-3917, CVE-2018-3919, CVE-2018-3925).

Una falta de comprobación en el parámetro 'camera-password' de la configuración del componente 'video-core' podría permitir a un atacante remoto ejecutar comandos arbitrarios en el sistema (CVE-2018-3856).

Otra vulnerabilidad en el componente 'video-core' podría permitir la inyección de comandos SQL a través del módulo 'credentials', al no sanear correctamente el JSON enviado en las peticiones POST del usuario a '/credentials' (CVE-2018-3879). 

Múltiples vulnerabilidades a la hora de procesar peticiones HTTP segmentadas permitirían a un atacante manipular las peticiones HTTP e insertar datos maliciosos en el servidor HTTP del componente 'video-core' (CVE-2018-3907, CVE-2018-3908, CVE-2018-3909).

El componente 'hubCore Port 39500' presenta una vulnerabilidad de inyección de cabeceras HTTP que podría ser explotada y combinada con otras vulnerabilidades presentes en el dispositivo para ejecutar código arbitrario (CVE-2018-3911).

Por último, un error en el controlador de excepciones del componente 'hubCore' permitiría a un atacante interceptar los volcados con información de debug que el componente envía al servicio de 'backtrace.io' para su posterior análisis (CVE-2018-3927).

Se recomienda actualizar actualizar inmediatamente el firmware a la última versión disponible.

Francisco Salido
fsalido@hispasec.com

Más información:

Vulnerability Spotlight: Multiple Vulnerabilities in Samsung SmartThings Hub
https://blog.talosintelligence.com/2018/07/samsung-smartthings-vulns.html

Casi 400 modelos de cámaras Axis expuestos a ataques remotos

Se han descubierto 7 vulnerabilidades que afectan a 390 modelos diferentes de cámaras de la marca, que permitirían acceder sin credenciales, escalar privilegios y ejecutar comandos arbitrarios

Las vulnerabilidades han sido descubiertas por la empresa de seguridad VDOO, en un proyecto interno enfocado a la seguridad de cámaras IP. Éstas son:

• CVE-2018-10658: bloqueo del proceso '/bin/ssid'.
• CVE-2018-10659: bloqueo del proceso '/bin/ssid'.
• CVE-2018-10660: inyección de comandos shell.
• CVE-2018-10661: salto del proceso de autenticación
• CVE-2018-10662: elevación de permisos usando funcionalidad '.srv' de dbus.
• CVE-2018-10663: lectura fuera del buffer en proceso '/bin/ssid'.
• CVE-2018-10664: bloqueo del proceso httpd.

De estas vulnerabilidades, las catalogadas con los identificadores CVE-2018-10661, CVE-2018-10662 y CVE-2018-10660 permiten en su conjunto tomar el control total de las cámaras por el atacante sin la necesidad de autenticación. La empresa de seguridad ha puesto algunos ejemplos de las acciones que podrían realizarse:

• Acceder a la transmisión de vídeo.
• Bloquear la transmisión de vídeo.
• Tomar el control de la cámara para activarla/desactivarla o rotarla.
• Añadir la cámara a una botnet.
• Alterar o cambiar el firmware de la cámara.
• Utilizar la cámara para infiltrarse en la red.
• Inutilizar la cámara.
• Emplear la cámara para otros ataques, como DDoS o minería de bitcoin.

Las otras vulnerabilidades descritas, con los identificadores CVE-2018-10658, CVE-2018-10659 y CVE-2018-10664, permitirían afectar al funcionamiento de la cámara, sin que se requiera autenticación para ninguna de ellas. Finalmente, la vulnerabilidad CVE-2018-10663 permite la revelación de información sin autenticación.

La empresa que ha descubierto las vulnerabilidades asegura que no hay pruebas de que haya habido explotación, recomendando a todos los usuarios afectados actualizar de inmediato. Axis ha liberado un listado de los modelos afectados.

Las vulnerabilidades en dispositivos IoT se encuentran a la orden del día, evidenciando la necesidad de preocuparse por la seguridad de estos dispositivos y mantenerlos actualizados. No sólo es importante por la posible pérdida de privacidad (como en este caso acceder al streaming de vídeo) sino también porque permiten acceder al resto de la red para vulnerar otros dispositivos.

Juan José Oyague
joyague@hispasec.com

Más información:

VDOO Discovers Significant Vulnerabilities in Axis Cameras:
https://blog.vdoo.com/2018/06/18/vdoo-discovers-significant-vulnerabilities-in-axis-cameras/

Affected Product List:
https://www.axis.com/files/sales/ACV-128401_Affected_Product_List.pdf

Más de 500.000 routers y dispositivos NAS afectados por VPNFilter

El equipo de investigadores de Cisco Talos se hacen eco de una nueva familia de malware muy destructiva: VPNFilter. Capaz de robar credenciales, exfiltrar información e incluso destruir el dispositivo afectado.

Los ataques están dirigidos en su mayoría a hosts de Ucrania. Disponiendo de una infraestructura de C&C específica para este país. Aunque otros 54 países se han visto afectados.

Hasta la fecha se sabe que el malware afecta a dispositivos de distinta categoría, tanto de uso doméstico como empresarial:

• Linksys E1200
• Linksys E2500
• Linksys WRVS4400N
• Mikrotik RouterOS para Routers Cloud Core: Versiones 1016, 1036, y 1072
• Netgear DGN2200
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• QNAP TS251
• QNAP TS439 Pro
• Otros dispositivos QNAP NAS que funcionen con software QTS
• TP-Link R600VPN

Estos dispositivos utilizan credenciales por defecto o están afectados por alguna vulnerabilidad ya conocida. De este modo el malware es capaz de infectar y propagarse a otros dispositivos.

La infección ocurre en tres etapas:

En primer lugar el malware se instala en el dispositivo de forma persistente, a diferencia de otros virus para dispositivos IoT que suelen borrarse al reiniciar el aparato. En esta primera etapa también se establece contacto con alguno de los servidores de C2 para pasar a la segunda etapa de despliegue.

En la segunda etapa se descarga el payload que permitirá al troyano ejecutar comandos, exfiltrar información y ficheros o incluso destruir el dispositivo sobreescribiendo su firmware.

La tercera etapa extiende las funcionalidades que se consiguen en la segunda, permitiendo esnifar paquetes, el robo de credenciales o monitorizar el protocolo de Modbus SCADA.

Fuente: Cisco Talos talosintelligence.com

Como contramedida podemos reiniciar el router o NAS para devolver al dispositivo al estado de la etapa 1 o resetear el aparato a los ajustes de fábrica para eliminarlo por completo. Se recomienda también instalar los parches que cada fabricante ha publicado.

Francisco Salido
fsalido@hispasec.com

Más información:

New VPNFilter malware targets at least 500K networking devices worldwide
https://blog.talosintelligence.com/2018/05/VPNFilter.html

Una vulnerabilidad en un dispositivo IoT pone patas arriba la seguridad de un casino

El jueves de la pasada semana el CEO de la empresa de seguridad Darktrace, Nicole Eagan, que asistía al evento WSJ CEO Council Conference en Londres, contó ante los asistentes un escenario que cada día está tomando mayor repercusión: acceder a un sistema informático a través de un dispositivo IOT.

La noticia de la cual se hacía eco Nicole Eagan, sin citar ni a la empresa comprometida ni al dispositivo IoT, era que un casino había sido ‘hackeado’ a través de una vulnerabilidad en el termómetro de uno de los acuarios que formaban parte de la decoración. La información obtenida por los atacantes era la base de datos de los clientes del casino.

Este escenario que se presentaba el pasado jueves bien podría formar parte de la próxima película de Ocean’s Eleven, pero la realidad no es mucho más halagüeña. El número de dispositivos IoTs que conectamos a nuestra red no para de aumentar. Esta situación unida a la escasa seguridad que presentan algunos dispositivos IoTs hacen que estos dispositivos sean una puerta de entrada sobre la que después pivotan los atacantes hacia objetivos de mayor criticidad.

La empresa consultora Gartner asegura que en el último año había crecido un 31% el número de dispositivos IoT, llegando a la cifra de 8.400 millones de dispositivos conectados, y para 2020 la previsión es que esta cifra superará los 20 mil millones de dispositivos.

Para las empresas es vital tener un correcto plan de auditoría técnica que permita a expertos revisar la seguridad de toda su red para poder detectar y mitigar estos problemas de seguridad.

Si desea contactar con Hispasec para ver cómo podemos ayudarle puede hacerlo a través del siguiente enlace.

Fernando Ramírez

@fdrg21

Más información:

Casino smart thermometer hacked:

https://mashable.com/2018/04/15/casino-smart-thermometer-hacked/

OMG convierte dispositivos IoT en servidores proxy

Una nueva variante de Mirai ha sido descubierta por investigadores de Fortinet. Bautizada como OMG, la funcionalidad que la define es la capacidad de utilizar los dispositivos IoT infectados como servidores proxy.

Imagen de fondo creada por Kjpargeter. Obtenida de Freepik.com

La liberación del código fuente del la botnet Mirai ha dado a luz todo tipo de variantes con su propio arsenal de funcionalidades específicas. En previas UAD hemos hablado de como explotaban vulnerabilidades en dispositivos Huawei, usaban contraseñas por defecto en ZyXel o atacaban a software de minado.

Diagrama de funcionamiento de OMG. Obtenida de Fortinet

Por supuesto, la nueva variante OMG (llamada así por la presencia de las cadenas '/bin/busybox OOMGA' y 'OOMGA: applet not found' en su interior) no podía ser menos. La presencia de los módulos de Mirai en su código indica que, de serie, puede usar las mismas técnicas que la botnet original. Pero además incluye la opción inédita: la capacidad de usar los dispositivos IoT infectados como servidores proxy.

Detalle de la configuración para elección de modo. Obtenida de Fortinet

Una vez infectado el dispositivo, OMG comunica la infección al servidor C&C, que le responde con un valor que especifica su finalidad. El valor 0 le indica al bot que va a ser usado como servidor proxy. Para ello selecciona dos puertos al azar ('http_proxy_port' y 'socks_proxy_port'), que son comunicados al servidor C&C, y configura una regla de firewall para permitir el trafico a través de ellos. Una vez lista la configuración, ejecuta un servidor proxy usando el software de código abierto 3proxy.

Esta variante ha sido descubierta por un equipo de investigadores de Fortinet. Según ellos, la posible motivación de esta funcionalidad es el cobro por el uso de la red de proxies:

Cybercriminals use proxies to add anonymity when doing various dirty work such as cyber theft, hacking into a system, etc. One way to earn money with proxy servers is to sell the access to these servers to other cybercriminals. This is what we think the motivation is behind this latest Mirai-based bot.

En su post se cubre en más detalle el funcionamiento y se aportan IOCs. Precisamente un miembro del equipo, Dario Durando, estará esta semana en la RootedCon con una charla llamada "IoT: Battle of Bots" donde cubrirá las diferentes variantes de Mirai aparecidas.

Francisco López

flopez@hispasec.com

@zisk0

Más información:

OMG: Mirai-based Bot Turns IoT Devices into Proxy Servershttps://www.fortinet.com/blog/threat-research/omg--mirai-based-bot-turns-iot-devices-into-proxy-servers.html

Vulnerabilidades en software de gasolineras

Hace unos meses, Kaspersky detectó una amenaza crítica de seguridad. Resultó ser una simple interfaz web que en realidad era un enlace a una gasolinera real, haciéndola manipulable de manera remota.

La interfaz web no resultó ser solo eso, sino que era en realidad una máquina ejecutando un controlador basado en linux con un pequeño servidor httpd. Según el fabricante, el software del controlador se encarga de gestionar todos los componentes de la gasolinera: Dispensadores, terminales de pago... Algunos de estos controladores llevaban gestionando estaciones más de 10 años, y llevan expuestos a internet desde entonces.

Según los especialistas de Kaspersky, en el momento de la investigación localizaron donde se encontraban las estaciones activas. Mayormente en Estados Unidos y la India, aunque también se encontraron en un porcentaje considerable en España y Chile.

Países afectados por estos dispositivos.

Una vez conocida la información del dispositivo, era sencillo obtener la documentación de este. Los manuales del fabricante eran bastante detallados, llegando a incluir capturas de pantalla, comandos, credenciales por defecto e incluso una guía paso a paso sobre cómo acceder y manejar cada interfaz. Solo con esto, se puede tener conocimiento de como funciona la aplicación.

Esquema del funcionamiento de la aplicación y los controladores.

Observando la interfaz, podemos ver que es sencilla para utilizar por los operarios de la gasolinera. Sin embargo, en el caso de que el operario sea un usuario malicioso puede llevar a cabo distintas acciones entre ellas modificar informes, recibos o incluso el precio de la gasolina. Estos privilegios, que deberían ser accesibles solo al administrador pueden ser utilizados por cualquier usuario. 

También es interesante que, en el esquema anterior no encontramos ninguna referencia a medidas de seguridad o de protección contra la interfaz. 
Los investigadores de Kaspersky volcaron el firmware del dispositivo para poder analizarlo, llegando a darse cuenta de una ingrata sorpresa: el fabricante había dejado unas credenciales hardcodeadas a modo de backdoor, en caso de que el dispositivo requiriese permisos mayores o acceso local con los privilegios mas altos. Cualquier dispositivo de dicho fabricante cuenta con las mismas credenciales hardcodeadas. 

Entre otras vulnerabilidades, resulta interesante que se pueda obtener la localización exacta de la gasolinera. Existe un componente que genera informes diariamente,  incluyendo el nombre de la estación además su localización. 

Haciendo uso de las credenciales encontradas en el código del firmware, se pueden cambiar los precios de la gasolina. El atacante tendría que investigar los productos de la gasolinera con estas credenciales hasta dar con el producto que corresponda a la gasolina para poder modificar su precio. 

Tras el análisis por los investigadores de Kasperksy, concluyeron que un atacante que conozca las credenciales hardcodeadas tendría acceso a:

• Apagar todos los sistemas de provisionamiento
• Filtro de combustible
• Cambiar los precios de los productos
• Robar dinero a través de la terminal de pago
• Obtener información de las licencias de los vehículos y sus dueños
• Bloquear la estación a cambio de un rescate.
• Ejecutar código remoto
• Moverse libremente dentro de la red de la estación

Fernando Díaz
fdiaz@hispasec.com

Más información:

Flaws in gas station software:
https://motherboard.vice.com/en_us/article/43qkgb/flaws-in-gas-station-software-let-hackers-change-prices-steal-fuel-erase-evidence
Gas is too expensive:

https://securelist.com/expensive-gas/83542/

La nevera no congela las vulnerabilidades

Te levantas por la mañana, abres la puerta de la nevera sacas una caja de leche y al cerrar la puerta consultas la agenda del día en la pantalla LCD de la puerta de la nevera. Mientras tanto ya te han robado tus credenciales de Gmail.

Cada día más y más dispositivos diferentes se conectan a Internet, relojes, coches, cafeteras o neveras. Todo puede conectarse a Internet. Pero como sabemos todo dispositivo conectado puede suponer un riesgo adicional. En este caso, durante la pasada Defcon un equipo ha comprobado la seguridad de la nevera RF28HMELBSR de Samsung, evidenciando importantes problemas de seguridad.

El modelo RF28HMELBSR de Samsung es una de esas neveras de gran tamaño que además incluye una pantalla LCD de 8 pulgadas, conexión WiFi y puede controlarse a través de la aplicación "Samsung Smart Home".

Durante la pasada Defon 23, se celebró el evento IoT Village donde se impartieron diversas conferencias sobre el "Internet de las cosas" y la seguridad de dispositivos conectados, como TVs, termostatos, controladores de domótica, etc. También se propuso como reto vulnerar la seguridad de este gran electrodoméstico conectado.

Can you own our #IoT #Samsung - RF28HMELBSR fridge ::] @_defcon_ pic.twitter.com/OOsPikSpee

— IoT Village (@IoTvillage) julio 31, 2015

El grupo PenTestPartners ha publicado los resultados de su investigación sobre la seguridad de esta nevera.

En primer lugar confirma que la nevera implementa SSL, sin embargo falla al validar los certificados SSL, lo que permite realizar ataques de hombre en el medio ("man-in-the-middle") contra la mayoría de las conexiones. Como la nevera incluye una funcionalidad para mostrar el calendario de Google, se podría usar un ataque MITM para obtener las credenciales de GMail del usuario.

Según la información del grupo, una excepción es se intenta conectar al servidor de actualizaciones. La conexión se realiza a la URL https://www.samsungotn.net, la misma que se emplea para TVs y otros dispositivos, sin embargo aunque generaron certificados con el mismo contenido que si fuera el sitio real, en ese caso fue imposible lograr la validación.

Los investigadores también han intentado otros ataques como intentar ataques a través del servicio de calendario, sin embargo las etiquetas HTML y otras marcas no se interpretan por lo que no lograron un ataque exitoso de esta forma.

También comprobaron la posibilidad de falsificar una actualización del firmware para comprometer el electrodoméstico a través de una actualización personalizada maliciosa. Si bien los investigadores confirman que encontraron el formato de URL para descargar el archivo, todavía necesitan encontrar una serie de parámetros adicionales para completar la URL. Según dicen no son datos secretos, solo difíciles de conseguir, como un nombre de código para el modelo del dispositivo, probablemente un número de serie, etc.

El frigorífico tiene al menos dos servicios en escucha. Uno en el puerto 4444 (SSL) y otro en el puerto 8888. El servicio en el puerto 4444 requiere un certificado cliente para la mayoría de las solicitudes, aunque no todos se validan contra el lado del cliente. El grupo sospecha que se utiliza por la aplicación móvil y, por lo tanto, el certificado estará en el código de la aplicación.

Los analistas también han trabajado sobre la aplicación móvil. Según informan creen haber encontrado el certificado dentro del almacén de claves. Sin embargo está adecuadamente protegido por contraseña, aunque creen haber conseguido la contraseña ofuscada,

Las cosas de Internet en el Internet de las cosas

Cada vez hay más dispositivos con conexión a Internet. Esto expone al software del dispositivo a los mismos riesgos que cualquier otro sistema conectado a la Red. El Internet de las cosas es más popular cada día y eso abre nuevas puertas a vulnerabilidades, robos de datos, control del dispositivo, etc.  

Estos nuevos dispositivos conectados, como relojes, electrodomésticos, TVs, se encuentran en un ecosistema totalmente nuevo, nunca habían tenido conexión y se enfrentan a problemas totalmente nuevos para ellos, aunque muy conocidos para el software normal.

Los fabricantes de este tipo de sistemas conectados (electrodomésticos, cámaras, TVs, etc.) deben tomar conciencia de la importancia que representa la seguridad del dispositivo y no cometer los mismos fallos que la industria del software lleva años pagando.

Más información:

RF28HMELBSR/AA

http://www.samsung.com/us/appliances/refrigerators/RF28HMELBSR/AA

Hacking DefCon 23’s IoT Village Samsung fridge

http://www.pentestpartners.com/blog/hacking-defcon-23s-iot-village-samsung-fridge/

IOT Village

https://www.iotvillage.org/

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero