Industria y Utilities | Noticias | 23 NOV 2015

Encontradas vulnerabilidades en el firmware de dispositivos embebidos y de red

Un test de seguridad a gran escala desplegado sobre las imágenes firmware de los dispositivos embebidos y de red ha permitido localizar cientos de vulnerabilidades. La conclusión es que los fabricantes no utilizan los test adecuados antes de ponerlos a la venta.
Linksys AC2400
Alfonso Casas

Un análisis llevado a cabo sobre cientos de dispositivos de red como routers, módems DSL, teléfonos VoIP, así como cámaras IP y otros dispositivos embebidos ha permitido descubrir que existe un alto riesgo de vulnerabilidades en muchos de ellos relacionado con el firmware, lo que saca a la luz los pobres test de seguridad que los fabricantes llevan a cabo sobre sus productos antes de ser lanzados comercialmente.

El estudio fue realizado por investigadores del Centro de Investigación Eurecom de Francia y Ruhr-University Bochum de Alemania, los cuales construyeron una plataforma automatizada capaz de acceder a las imágenes de firmware de cada dispositivo, ejecutarlo en un entorno emulado, e iniciar los servidores web incrustados que alojan sus interfaces de administración.

Los investigadores comenzaron con una colección de 1.925 imágenes firmware basadas en Linux para dispositivos embebidos de 54 fabricantes diferentes, y sólo lograron iniciar el servidor Web en 246 de ellos. Con una mayor dedicación, los investigadores creen que el número de ellos podría aumentar considerablemente.

El objetivo fue realizar análisis de vulnerabilidad dinámico en las interfaces de administración basadas en la Web, utilizando herramientas test de penetración de código abierto. Esto dio lugar al descubrimiento de 225 vulnerabilidades de alto impacto que fueron encontradas en 46 de las imágenes firmware probadas.

Los investigadores también realizaron un análisis estático con otra herramienta de código abierto contra el código PHP extraídos de imágenes de firmware del dispositivo, lo que desveló que había otras 9046 vulnerabilidades presentes en 145 imágenes firmware.

En total, sumando los análisis estáticos y dinámicos, fueron encontradas vulnerabilidades importantes como la ejecución de comandos, la inyección SQL y script cross-site en las interfaces de administración basadas en la Web de 185 paquetes únicos de firmware, lo cual afecta a los dispositivos de una cuarta parte de los 54 fabricantes.

Los investigadores centraron sus esfuerzos en el desarrollo de un método fiable para la prueba automatizada de paquetes de firmware sin tener acceso a los dispositivos físicos. De hecho, los investigadores no realizan revisiones de código manuales, ya que suelen emplear una gran variedad de herramientas o el escaneo de prueba.

Conclusiones

En definitiva, los problemas encontrados demuestran que los fallos de seguridad deberían haber sido encontrados con cualquier prueba de seguridad estándar. De este modo, los fabricantes deben revisar su forma de proceder a la hora de descubrir y parchear los fallos de seguridad de sus dispositivos de red.

Andrei Costin, uno de los investigadores responsables del estudio destaca que “parece como si los vendedores afectados no se hubieran fijado en el código de pruebas de seguridad de sus dispositivos, o si lo hicieron, los test no tenían la calidad suficiente”.

Costin presentó los resultados en la conferencia de seguridad DefCamp que tuvo lugar en Bucarest la semana pasada. Ya el pasado año, estos investigadores desarrollaron métodos para encontrar automáticamente puertas traseras y las aspectos de cifrado en un gran número de paquetes firmware. El impacto sigue siendo potencialmente elevado, dado que la mayoría de los usuarios rara vez actualiza el firmware de este tipo de dispositivos embebidos.

En DefCamp, también se invitó a los asistentes a tratar de hackear cuatro dispositivos de Internet-de-cosas como parte del sitio en la IoT Village. Los concursantes encontraron dos vulnerabilidades críticas en un timbre con capacidad de video inteligente que podría ser aprovechado para hacerse con el control total sobre el dispositivo. El timbre también tenía la opción de controlar una cerradura inteligente.

Los detalles sobre las vulnerabilidades aún no se han compartido públicamente porque los organizadores de IoT Village, concretamente la firma de seguridad de Bitdefender, tiene la intención de informar a los fabricantes afectados para que puedan parchear y abordar dichas vulnerabilidades. 

Es una información del IDG News Services, Lucian Constantin.

Contenidos recomendados...

Comentar
Para comentar, es necesario iniciar sesión
Se muestran 0 comentarios
X

Uso de cookies

Esta web utiliza cookies técnicas, de personalización y análisis, propias y de terceros, para facilitarle la navegación de forma anónima y analizar estadísticas del uso de la web. Consideramos que si continúa navegando, acepta su uso. Obtener más información