Nesnelerin İnterneti (Nesnelerin İnterneti) birbirine bağlı cihazlardan oluşan bir dünya vaat ediyor, ancak bu bağlantının karanlık bir tarafı da var: güvenlik açıkları, Çarşamba günü yayınlanmadan önce Hackread.com ile paylaşılan Bitdefender araştırmasını ortaya koyuyor.
Bitdefender’ın IoT araştırmacıları, IoT gözetim cihazlarının özel IoT ekosistemleri oluşturması için yaygın olarak kullanılan bir yazılım hizmeti olan ThroughTek’in Kalay Platformu (TUTK) tarafından desteklenen cihazlarda çok sayıda güvenlik açığı keşfetti. Bu güvenlik açıkları, platformun IoT entegrasyonlarındaki kapsamlı varlığı nedeniyle dünya çapında yaklaşık 100 milyondan fazla cihazı riske atıyor.
Güvenlik Açıkları Ayrıntıları
- CVE-2023-6321 Kimliği doğrulanmış bir kullanıcının, kök kullanıcı olarak sistem komutlarını çalıştırarak cihazın güvenliğini tamamen ihlal etmesine olanak tanır.
- CVE-2023-6322 saldırganların, özellikle kamera hareket algılama bölgelerinde kullanılan bir IOCTL mesajının işleyicisindeki yığın tabanlı arabellek taşması güvenlik açığı aracılığıyla kök erişimi elde etmesine olanak tanır.
- CVE-2023-6323 Yerel bir saldırganın AuthKey sırrını ele geçirmesine ve kurbanın cihazıyla ön bağlantı kurmasına olanak tanır.
- CVE-2023-6324 Saldırganların, kurban cihazlara bağlanmak ve iletişim kurmak için çok önemli bir ön koşul olan DTLS oturumu için önceden paylaşılan anahtarı çıkarmasına olanak tanıyan bir güvenlik açığından yararlanıyor.
Birbirine zincirlenen bu güvenlik açıkları, yerel ağ içerisinde yetkisiz root erişimine izin verir ve cihaz yerel ağdan incelendiğinde uzaktan kod yürütülmesi mümkün olur.
Etki analizi
Bitdefender’ın Blog yazısı TUTK SDK-Owlet Cam v1, Wyze Cam v3 ve Roku Indoor Camera SE aracılığıyla müşterilerle internet üzerinden iletişim kurmak için ThroughTek’in Kalay çözümünü kullanan üç ana cihazın incelendiğini ortaya koyuyor ve bu cihazların çoğu güvenlik açığından etkilendiklerini doğruluyor.
Bu cihazlardaki güvenlik açıkları, yerel saldırganların, platformun akıllı telefon uygulamasının cihaza bağlanmak ve doğru anahtar olmadan istekleri reddetmek için kullandığı gizli bir dize olan AuthKey sırrını sızdırmasına olanak tanıyacak.
Dahası, saldırganlar bir DTLS oturumu için önceden paylaşılan anahtarı çıkarabilir ve kimliği doğrulanmış bir kullanıcının sistem komutlarını kök kullanıcı olarak çalıştırmasına olanak tanıyarak cihazın güvenliğinin ihlal edilmesine yol açabilir.
Dahası, araştırmacılar, işletim sistemi komutlarını kök kullanıcı olarak çalıştırmak için CVE-2023-6322, CVE-2023-6323 ve CVE-2023-6324’ü başarılı bir şekilde zincirleme zincirleme bağladılar; bu, saldırganların gözetleme yapmasına, kötü amaçlı yazılım dağıtmasına ve yanal hareketi etkinleştirmesine olanak tanıyabildi. Bilginiz olsun, zincirleme güvenlik açıkları, daha büyük bir hedefe ulaşmak için birden fazla sistem zayıflığından aynı anda yararlanmak anlamına gelir.
Şu anki durum
Bitdefender, 19 Ekim 2023’te ThroughTek’e bir güvenlik açığı raporu gönderdi. Satıcı, sorunları doğruladı ve etkilenen tüm SDK sürümlerini 16 Nisan 2024’e kadar düzeltti; ardından 15 Mayıs 2024’te koordineli bir güvenlik açığı açıklaması yayınlandı. Firmware ve SDK’ların güncellenmiş sürümleri, mevcut. Etkilenen cihaz kullanıcılarının istismarı önlemek için hemen yama yapması gerekiyor.
İLGİLİ KONULAR
- 91.000 Akıllı LG TV Cihazı Uzaktan Devralınmaya Karşı Savunmasız
- Vietnamlı Grup Yatak Odası Kamera Görüntülerini Hackledi ve Sattı
- Akıllı Kasklardaki Kusur Milyonları Hacklenme ve Gözetim Riskine Maruz Bıraktı
- Wyze Kamera Arızası: 13.000 Kullanıcı Başkalarının Evlerinden Görüntüler Gördü
- Whitehat hacker, Airbnb ve otellerdeki gizli kameraların nasıl tespit edileceğini gösteriyor