Una vulnerabilidad grave que afecta al eCos SDK fabricado por la empresa taiwanesa de semiconductores Realtek podría exponer los dispositivos de red de muchos proveedores a ataques remotos.
El agujero de seguridad, rastreado como CVE-2022-27255 y calificado como de “gravedad alta”, se ha descrito como un desbordamiento de búfer basado en pila que puede permitir que un atacante remoto provoque un bloqueo o logre la ejecución de código arbitrario en dispositivos que usan el SDK. Se puede llevar a cabo un ataque a través de la interfaz WAN utilizando paquetes SIP especialmente diseñados.
Realtek eCos SDK se proporciona a las empresas que fabrican enrutadores, puntos de acceso y repetidores con tecnología de SoC de la familia RTL819x. El SDK implementa las funcionalidades básicas del enrutador, incluida la interfaz de administración web y la pila de red. Los proveedores pueden aprovechar este SDK para agregar funciones personalizadas y su marca al dispositivo.
Realtek informó a los clientes sobre la vulnerabilidad eCos SDK en marzo, cuando anunció la disponibilidad de un parche. Sin embargo, depende de los OEM que usen el SDK asegurarse de que el parche se distribuya a los dispositivos de los usuarios finales.
Los investigadores de la firma argentina de ciberseguridad Faraday Security han sido acreditados por Realtek por descubrir la vulnerabilidad. El investigador de Faraday, Octavio Gianatiempo, quien detallará los hallazgos el viernes en la conferencia DEF CON en Las Vegas.
El investigador dijo que la vulnerabilidad se puede explotar de forma remota, directamente desde Internet, para hackear los enrutadores afectados que se ejecutan con la configuración predeterminada. No se requiere interacción del usuario para una explotación exitosa.
“El código vulnerable es parte de la pila de redes: si el dispositivo está conectado a Internet, un atacante sólo necesita enviar un paquete para tomar el control del dispositivo”, explicó.
Gianatiempo dijo que han identificado aproximadamente 20 proveedores que usan el SDK vulnerable para sus productos, incluidos Tenda, Nexxt, Intelbras y D-Link. Sin embargo, podría haber otros proveedores afectados que aún tienen que identificar.
“El proceso de identificación de los productos OEM afectados es desalentador debido a la falta de visibilidad de su cadena de suministro”, señaló Gianatiempo.
Si bien no hay indicios de que la falla haya sido explotada en la naturaleza, podría haber una cantidad significativa de dispositivos que estén expuestos a ataques debido a esta vulnerabilidad, por lo que puede ser tentador para los actores malintencionados.
Faraday realizó una búsqueda de Shodan e identificó más de 60,000 enrutadores vulnerables con su panel de administración expuesto. Además, Mercadolibre, el sitio de comercio electrónico más grande de América Latina, ha vendido 130.000 dispositivos afectados por la vulnerabilidad, según un contador de ventas que se muestra en las páginas de productos.
“El panel de administración no está habilitado de forma predeterminada, por lo que la cantidad total de dispositivos expuestos debería ser mayor”, explicó Gianatiempo. “La identificación remota de los enrutadores afectados requeriría activar la vulnerabilidad, que está fuera de nuestro alcance de investigación”.
Se sabe que los actores de amenazas apuntan a las vulnerabilidades de Realtek SDK en sus ataques. El año pasado, los investigadores detectaron la explotación de una vulnerabilidad solo unos días después de su divulgación .
Fuente: https://www.securityweek.com/realtek-sdk-vulnerability-exposes-routers-many-vendors-remote-attacks
Es especialista en ciberseguridad con más de 16 años de experiencia en seguridad de la información. Conoce muy bien la inteligencia de amenazas, la gestión de riesgos, la evaluación de vulnerabilidades y las pruebas de penetración, el análisis forense cibernético y la tecnología de seguridad en la nube (AWS, Azure, Google Cloud). Ocupó varios puestos de investigador de ciberseguridad en diferentes empresas. Tiene experiencia en diferentes industrias como finanzas, atención médica, marketing, gobierno, finanzas turísticas, aerolíneas, telecomunicaciones y biometría.