Los equipos de seguridad de Cisco Talos reportan el hallazgo de múltiples vulnerabilidades en SeaConnect, un avanzado dispositivo de Internet de las Cosas (IoT) desarrollado por la firma SeaLevel Systems que permite monitorear y controlar múltiples procesos de entradas y salidas de forma remota.
Los investigadores encontraron tres vulnerabilidades de desbordamiento de búfer cuya explotación exitosa permitiría a los actores de amenazas ejecutar código arbitrario en los sistemas afectados. Las fallas fueron identificadas como CVE-2021-21960, CVE-2021-21961 y CVE-2021-1390 y recibieron puntajes de entre 9 y 10 según el Common Vulnerability Scoring System (CVSS).
Otra falla identificada como CVE-2021-21959 fue descrita como un error que permitiría a los hackers desplegar ataques Man-in-The-Middle (MiTM) y atacar los sistemas vulnerables mediante la explotación encadenada de otras fallas encontradas en esta investigación, incluyendo CVE-2021-21968, CVE-2021-21969 y CVE-2021-21970.
Los investigadores también descubrieron una vulnerabilidad en una biblioteca obsoleta de Eclipse Foundation Embedded Paho MQTT Client-C en la que se basa SeaConnect 370W. Identificada como CVE-2021-41036, la vulnerabilidad permitiría que un actor de amenazas active una escritura fuera de los límites en el dispositivo.
Los investigadores colaboraron con Sealevel Systems para garantizar que las fallas sean abordadas, preparando los parches de seguridad correspondientes. Las mitigaciones ya están disponibles, por lo que se recomienda a los usuarios de implementaciones vulnerables que actualicen Sealevel Systems SeaConnect 370W a la versión 1.3.34, que se ha comprobado es completamente segura.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.