Edifícios expostos a ataques cibernéticos.

Publicado por Igor Matsunaga em

A pesquisadora de segurança Gjoko Krstic, da Applied Risk, descobriu mais de 100 vulnerabilidades em sistemas de gerenciamento e controle de acesso de quatro grandes fornecedores. 

Um invasor pode explorar as vulnerabilidades para obter controle total dos produtos vulneráveis e acesso aos dispositivos conectados a eles. 

A Krstic conduziu um estudo de um ano em gerenciamento de edifícios (BMS), automação predial (BAS) e produtos de controle de acesso da Nortek, Prima Systems, Optergy e Computrols. Os especialistas analisaram diversos produtos, incluindo o Computrols CBAS-Web, o Optergy Proton / Enterprise, o Prima FlexAir e dois produtos Nortek Linear eMerge. 

O especialista descobriu mais de 100 falhas de segurança, incluindo credenciais padrão e codificadas, injeção de comando, cross-site scripting (XSS), path traversalunrestricted file upload, privilege escalationauthorization bypassclear-text storage of passwordscross-site request forgery (CSRF), arbitrary code executionauthentication bypassinformation disclosure, open redirect, enumeração de usuários e backdoors. 

Algumas das falhas, classificadas como ‘críticas’, podem ser exploradas por um atacante não autenticado para assumir o controle total dos sistemas vulneráveis.  
A extensão da falha é grande, de acordo com dados coletados pela Krstic durante o estudo, as vulnerabilidades podem impactar até 10 milhões de pessoas e 30.000 portas em 200 instalações. 

Após hackeados, os invasores podem roubar informações pessoais e realizar uma ampla gama de atividades maliciosas, incluindo bloquear ou desbloquear portas e portões, controlar o acesso por elevador, disparar alarmes, interceptar fluxos de vigilância por vídeo e manipular sistemas HVAC e luzes e interromper operações. 

“É possível identificar sistemas expostos usando mecanismos de busca como o Shodan, e é possível escanear toda a Internet IPv4”, diz a análise publicada pelos especialistas relacionados àComputrolsCBAS-Web 18.0.0.

buildings automation CBAS-Web-Graphics

Krstic apresentou as descobertas de seu estudo na  Conferência de Segurança Cibernética ICS da SecurityWeek, realizada em Cingapura. 

Os especialistas da Applied Risk publicaram  avisos de segurança  para cada um dos produtos afetados, e planejam divulgar detalhes técnicos para cada falha em junho. 

A Applied Risk confirmou que todos os fornecedores afetados, com exceção da Nortek, já lançaram atualizações de segurança para resolver os problemas emitidos em seus produtos. 

Segundo a SecurityWeek , a Nortek já corrigiu a emissão identificada pela Applied Risk, apesar de a empresa não ter recebido os detalhes reais das falhas. 

Common Vulnerability Exposure (CVE):
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10846
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10847
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10848
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10849
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10850
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10851
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10852
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10853
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10854
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10855

Que a segurança esteja com você!

Fonte: securityaffairs.co


Igor Matsunaga

Diretor Técnico da NSWorld, entusiasta da área hacking a mais de 6 anos, hacker ético, formado em Segurança da Informação.

0 comentário

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *