Um problema de autorização agora corrigido que afetava os modems da Cox poderia ter sido explorado como um ponto de partida para obter acesso não autorizado aos dispositivos e executar comandos maliciosos. Após a divulgação responsável em 4 de março de 2024, os problemas de bypass de autorização foram resolvidos pelo provedor de banda larga dos EUA dentro de 24 horas. Não há evidências de que essas falhas foram exploradas na natureza. Curry et al já divulgaram várias vulnerabilidades que afetam milhões de veículos de 16 fabricantes diferentes que poderiam ser exploradas para desbloquear, iniciar e rastrear carros. A análise de Curry do mecanismo subjacente identificou cerca de 700 pontos de extremidade de API expostos, alguns dos quais poderiam ser explorados para obter funcionalidade administrativa e executar comandos não autorizados. Isso inclui um ponto de extremidade “profilesearch” que poderia ser explorado para pesquisar um cliente e recuperar detalhes da conta comercial usando apenas seu nome. A pesquisa descobriu que é possível sobrescrever as configurações de um dispositivo do cliente, assumindo que eles possuem um segredo criptográfico necessário ao lidar com solicitações de modificação de hardware. Em um cenário de ataque hipotético, um ator malicioso poderia ter explorado essas APIs para obter detalhes completos da conta de um cliente da Cox, consultar o endereço MAC do hardware para recuperar senhas Wi-Fi e dispositivos conectados e executar comandos arbitrários para assumir as contas. Este problema provavelmente foi introduzido devido às complexidades em torno da gestão de dispositivos do cliente como roteadores e modems. “A construção de uma API REST que possa falar universalmente com provavelmente centenas de modelos diferentes de modems e roteadores é realmente complicada. Se tivessem visto a necessidade disso originalmente, poderiam ter implementado um mecanismo de autorização melhor que não dependesse de um único protocolo interno ter acesso a tantos dispositivos. Eles têm um problema muito difícil de resolver.”