Una vulnerabilità zero-day di gravità elevata potrebbe causare arresti anomali dei sistema, far saltare sensori, apparecchiature mediche ed altro ancora.
Un difetto in un codice dell’infrastruttura Internet of Things (IoT) ampiamente utilizzato ha lasciato più di 100 milioni di dispositivi in 10.000 aziende vulnerabili agli attacchi.
I ricercatori di Guardara hanno utilizzato la loro tecnologia per trovare la vulnerabilità zero-day in NanoMQ, una piattaforma open source di EMQ che monitora i dispositivi IoT in tempo reale, quindi funge da “mediatore di messaggi” per fornire avvisi quando viene rilevata un’attività atipica. I prodotti EMQ vengono utilizzati per monitorare la salute dei pazienti, per rilevare incendi, monitorare i sistemi delle auto, negli smartwatch, nelle applicazioni smart-city e altro ancora.
“Guardara ha utilizzato la sua tecnologia per rilevare molteplici problemi … che hanno causato l’arresto anomalo del prodotto NanoMQ di EMQ durante i test”, ha affermato la società in un comunicato stampa. “L’esistenza di queste vulnerabilità significa che qualsiasi sistema basato su NanoMQ potrebbe essere completamente disattivato”.
Il CEO di Guardara, Mitali Rakhit, ha dichiarato che alla vulnerabilità (che non ha un CVE) ha ricevuto un punteggio CVSS di 7.1, il che la rende molto grave.
“Quanto è pericoloso dipende dall’impostazione in cui viene utilizzato NanoMQ”, ha aggiunto Rakhit.
Zsolt Imre di Guardara ha spiegato su GitHub che il problema riguardava la lunghezza del pacchetto MQTT.
MQTT è un protocollo standard di messaggistica per IoT, progettato in modo estremamente leggero per la connessione di dispositivi remoti con un footprint di codice ridotto, che richiede una larghezza di banda di rete minima. MQTT viene utilizzato in un’ampia varietà di settori che utilizzano smart sensors a bassa larghezza di banda, come quello automobilistico, manifatturiero, delle telecomunicazioni, del petrolio e del gas e così via, rendendola di fatto grave vista l’ampia diffuzione.
Nell’implementazione di NanoMQ, “quando la lunghezza del pacchetto MQTT viene manomessa ed è inferiore al previsto, un’operazione ‘memcpy’ riceve un valore di dimensione che fa sì che la posizione del buffer di origine punti ad un’area di memoria non allocata”, ha scritto Imre. “Di conseguenza, NanoMQ va in crash.”
L’incidente
“Il problema sembra risiedere nel modo in cui viene calcolata la lunghezza del carico utile”, ha continuato Imre. “Supponendo che la lunghezza insolita del pacchetto ‘msg_len’ sia un valore inferiore a ‘used_pos’, il risultato diventa un numero negativo. Tuttavia, ‘memcpy’ prevede che la dimensione sia ‘size_t’, che non è verificata. Pertanto, a causa dell’espressione negativa in ‘size_t’, la lunghezza diventa un numero positivo molto grande (0xfffffffc nel caso di questa dimostrazione). ”
Quello che servirebbe ad un aggressore per sfruttare la vulnerabilità e mandare in crash il sistema sono le competenze di base di networking e scripting.
Questi tipi di attacchi “DOS” denial-of-service possono essere estremamente pericolosi poiché influiscono sulla disponibilità di apparecchiature mission-critical.
“Questo potrebbe potenzialmente mettere a rischio milioni di vite e di attività”, secondo l’azienda. “La tecnologia all’interno di NanoMQ viene utilizzata per raccogliere dati in tempo reale da dispositivi comuni tra cui smartwatch, sensori per auto e sensori di rilevamento incendi. I messaggi vengono utilizzati per monitorare i parametri sanitari tramite sensori per i pazienti che lasciano l’ospedale o sensori di rilevamento del movimento per prevenire i furti”.
Lo sviluppatore del software ha distribuito i fixed, quindi chi utilizza dispositivi che incorporano NanoMQ dovrebbe verificare con i propri fornitori l’aggiornamento del firmware del dispositivo.
Attacchi a dispositivi IoT in aumento
Questa divulgazione arriva in mezzo a un picco di attacchi a dispositivi IoT, inclusi telecomandi , dispositivi Bluetooth , sistemi di sicurezza domestica e altro ancora.
Secondo un rapporto redatto all’inizio di questo mese c’è stato un aumento di oltre il 100% degli attacchi informatici sui dispositivi IoT durante la prima metà del 2021, con l’incredibile cifra di 1,5 miliardi di attacchi lanciati finora quest’anno.
