Utvrđeno je da verzija druge generacije Belkin-ovog Wemo Mini Smart Plug-a sadrži ranjivost prepunjavanja bafera koju bi haker mogao iskoristiti za ubrizgavanje proizvoljnih komandi na daljinu.
Problem, kojem je dodijeljen identifikator CVE-2023-27217, otkrila je i prijavila Belkinu 9. januara 2023. godine izraelska IoT sigurnosna kompanija Sternum, koja je izvršila proces obrnutog inženjeringa uređaja i dobila pristup firmware-u.
Wemo Mini Smart Plug V2 (F7C063) nudi praktično daljinsko upravljanje, omogućavajući korisnicima da uključe ili isključe elektronske uređaje pomoću prateće aplikacije instalirane na pametnom telefonu ili tabletu.
Srž problema leži u funkciji koja omogućava preimenovanje pametnog priključka u više “FriendlyName”. Podrazumevani naziv je “Wemo mini 6E9.”
“Dužina imena je ograničena na 30 znakova ili manje, ali ovo pravilo primjenjuje samo sama aplikacija” rekli su sigurnosni istraživači Amit Serper i Reuven Yakar u izvještaju podijeljenom s The Hacker News, dodajući da provjeru valjanosti nije primijenio firmware kod.
Kao rezultat toga, zaobilaženje ograničenja broja znakova korištenjem Python modula pod nazivom pyWeMo može dovesti do stanja prelivanja bafera, koji se onda može pouzdano iskoristiti za rušenje uređaja ili, alternativno, prevariti kod da pokrene maliciozne komande i preuzme kontrolu.
Belkin je, u odgovoru na nalaze, rekao da ne planira da otkloni nedostatak zbog činjenice da je uređaj na kraju životnog veka (EoL) i da je zamenjen novijim modelima.
„Čini se da bi se ova ranjivost mogla pokrenuti preko Cloud interfejsa, što znači, bez direktne veze sa uređajem“ upozorili su istraživači.
U nedostatku popravke, korisnicima Wemo Mini Smart Plug V2 preporučuje se da izbjegavaju njihovo direktno izlaganje internetu i osiguraju implementaciju odgovarajućih mjera segmentacije ako su raspoređene u osjetljivim mrežama.
“Ovo se dešava kada se uređaji isporučuju bez ikakve zaštite na uređaju. Ako se oslanjate samo na sigurnosne zakrpe sa brzim odzivom, kao što većina proizvođača uređaja danas radi, dvije su stvari sigurne: uvijek ćete biti korak iza napadača i jednog dana zakrpe će prestati da dolaze” rekao je Igal Zeifman, potpredsjednik marketinga za Sternum.
Izvor: The Hacker News
