Pesquisadores de cibersegurança divulgaram múltiplas falhas de segurança em modems celulares Cinterion que podem ser potencialmente exploradas por atores de ameaças para acessar informações sensíveis e realizar execução de código.
"Essas vulnerabilidades incluem falhas críticas que permitem execução remota de código e escalonamento de privilégios não autorizado, representando riscos substanciais para redes de comunicação integrais e dispositivos IoT fundamentais para os setores industrial, de saúde, automotivo, financeiro e de telecomunicações", disse a Kaspersky.
Os modems Cinterion foram originalmente desenvolvidos pela Gemalto antes da empresa ser adquirida pela Telit da Thales como parte de um acordo anunciado em julho de 2022.
Os resultados foram apresentados no OffensiveCon, realizado em Berlim em 11 de maio.
A lista de oito falhas é a seguinte:
CVE-2023-47610
(pontuação CVSS: 8.1) - Uma vulnerabilidade de estouro de buffer que poderia permitir a um atacante remoto não autenticado executar código arbitrário no sistema alvo enviando uma mensagem SMS especialmente criada.
CVE-2023-47611
(pontuação CVSS: 7.8) - Uma vulnerabilidade de gerenciamento de privilégios imprópria que poderia permitir a um atacante local de baixo privilégio elevar privilégios ao nível do fabricante no sistema alvo.
CVE-2023-47612
(pontuação CVSS: 6.8) - Uma vulnerabilidade de arquivos ou diretórios acessíveis a partes externas que poderia permitir a um atacante com acesso físico ao sistema alvo obter acesso de leitura/escrita a quaisquer arquivos e diretórios no sistema alvo, incluindo arquivos e diretórios ocultos.
CVE-2023-47613
(pontuação CVSS: 4.4) - Uma vulnerabilidade de traversal de caminho relativo que poderia permitir a um atacante local de baixo privilégio escapar de diretórios virtuais e obter acesso de leitura/escrita a arquivos protegidos no sistema alvo.
CVE-2023-47614
(pontuação CVSS: 3.3) - Uma vulnerabilidade de exposição de informações sensíveis que poderia permitir a um atacante local de baixo privilégio divulgar caminhos virtuais ocultos e nomes de arquivos no sistema alvo.
CVE-2023-47615
(pontuação CVSS: 3.3) - Uma vulnerabilidade de exposição de informações sensíveis através de variáveis ambientais que poderia permitir a um atacante local de baixo privilégio obter acesso não autorizado ao sistema alvo.
CVE-2023-47616
(pontuação CVSS: 2.4) - Uma vulnerabilidade de exposição de informações sensíveis que poderia permitir a um atacante com acesso físico ao sistema alvo acessar dados sensíveis no sistema alvo.
A mais grave das fragilidades é o
CVE-2023-47610
, uma vulnerabilidade de overflow de heap no modem que permite a atacantes remotos executar código arbitrário via mensagens SMS.
Além disso, o acesso pode ser armado para manipular a RAM e a memória flash, permitindo assim que os atacantes exerçam mais controle do modem sem autenticação ou acesso físico.
As vulnerabilidades remanescentes decorrem de falhas de segurança no manuseio de MIDlets, que se referem a aplicações baseadas em Java executadas dentro dos modems.
Elas poderiam ser abusadas para burlar checagens de assinatura digital e permitir execução de código não autorizado com privilégios elevados.
Os pesquisadores de segurança Sergey Anufrienko e Alexander Kozlov foram creditados pela descoberta e relato das falhas, que foram formalmente reveladas pela Kaspersky ICS CERT em uma série de avisos publicados em 8 de novembro de 2023.
"Como os modems são tipicamente integrados em soluções no estilo matryoshka, com produtos de um fornecedor empilhados sobre os de outro, compilar uma lista de produtos finais afetados é desafiador," disse Evgeny Goncharov, chefe da Kaspersky ICS CERT.
Para mitigar ameaças potenciais, as organizações são recomendadas a desativar capacidades de mensagens SMS não essenciais, empregar Access Point Names (APNs) privados, controlar o acesso físico aos dispositivos e conduzir auditorias e atualizações de segurança regulares.
Publicidade
O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...