Pesquisadores de segurança cibernética revelaram múltiplas falhas de segurança nos modems celulares Cinterion que poderiam ser potencialmente exploradas por criminosos cibernéticos para acessar informações sensíveis e executar códigos.
Essas vulnerabilidades incluem falhas críticas que permitem a execução remota de código e escalonamento não autorizado de privilégios, representando riscos substanciais para redes de comunicação e dispositivos IoT fundamentais para os setores industrial, de saúde, automotivo, financeiro e de telecomunicações, de acordo com o Kaspersky.
Os modems Cinterion foram originalmente desenvolvidos pela Gemalto antes de a empresa ser adquirida pela Telit da Thales como parte de um acordo anunciado em julho de 2022.
As descobertas foram apresentadas durante o OffensiveCon realizado em Berlim em 11 de maio. A lista de oito falhas é a seguinte:
– CVE-2023-47610 (pontuação CVSS: 8.1) – Uma vulnerabilidade de estouro de buffer que poderia permitir a um atacante remoto não autenticado executar código arbitrário no sistema de destino enviando uma mensagem SMS especialmente criada.
– CVE-2023-47611 (pontuação CVSS: 7.8) – Uma vulnerabilidade de gerenciamento de privilégios imprópria que poderia permitir a um atacante local e de baixo privilégio elevar os privilégios para o nível do fabricante no sistema de destino.
– CVE-2023-47612 (pontuação CVSS: 6.8) – Uma vulnerabilidade de arquivos ou diretórios acessíveis a terceiros que poderia permitir a um atacante com acesso físico ao sistema de destino obter acesso de leitura/gravação a quaisquer arquivos e diretórios no sistema de destino, incluindo arquivos e diretórios ocultos.
– CVE-2023-47613 (pontuação CVSS: 4.4) – Uma vulnerabilidade de travessia de caminho relativo que poderia permitir a um atacante local e de baixo privilégio escapar de diretórios virtuais e obter acesso de leitura/gravação a arquivos protegidos no sistema de destino.
– CVE-2023-47614 (pontuação CVSS: 3.3) – Uma vulnerabilidade de exposição de informações sensíveis que poderia permitir a um atacante local e de baixo privilégio divulgar caminhos virtuais ocultos e nomes de arquivos no sistema de destino.
– CVE-2023-47615 (pontuação CVSS: 3.3) – Uma vulnerabilidade de exposição de informações sensíveis por meio de variáveis ambientais que poderia permitir a um atacante local e de baixo privilégio obter acesso não autorizado ao sistema de destino.
– CVE-2023-47616 (pontuação CVSS: 2.4) – Uma vulnerabilidade de exposição de informações sensíveis que poderia permitir a um atacante com acesso físico ao sistema de destino obter acesso a dados sensíveis no sistema de destino.
A mais grave das vulnerabilidades é a CVE-2023-47610, uma vulnerabilidade de estouro de heap no modem que permite que atacantes remotos executem código arbitrário por meio de mensagens SMS.
Além disso, o acesso poderia ser usado para manipular a RAM e a memória flash, permitindo que os invasores obtenham mais controle sobre o modem sem autenticação ou necessidade de acesso físico.
As vulnerabilidades restantes derivam de falhas de segurança no tratamento de MIDlets, que se referem a aplicativos baseados em Java executados nos modems. Eles poderiam ser usados para contornar verificações de assinatura digital e permitir a execução não autorizada de código com privilégios elevados.
Os pesquisadores de segurança Sergey Anufrienko e Alexander Kozlov foram creditados por descobrir e relatar as falhas, que foram formalmente reveladas pelo Kaspersky ICS CERT em uma série de avisos publicados em 8 de novembro de 2023.
“Como os modems geralmente são integrados de forma complexa em outras soluções, com produtos de um fabricante empilhados sobre os de outro, compilar uma lista de produtos finais afetados é um desafio,” disse Evgeny Goncharov, chefe do Kaspersky ICS CERT.
Para mitigar possíveis ameaças, as organizações são recomendadas a desativar capacidades de mensagens SMS não essenciais, empregar Pontos de Acesso Privados (APNs) privados, controlar o acesso físico aos dispositivos e realizar auditorias e atualizações de segurança regulares.
O The Hacker News entrou em contato com a Telit para mais informações sobre as falhas e atualizará a história assim que receber uma resposta.
