CVE-2023-27217 er en ny sikkerhedssårbarhed i Belkins anden generation Wemo Mini Smart Plug, som blev opdaget af det israelske IoT-sikkerhedsfirma Sternum.
Belkins anden generation Wemo Mini Smart Plug (F7C063) blev fundet at indeholde en bufferoverløbssårbarhed, identificeret som CVE-2023-27217, som kunne udnyttes af trusselsaktører til at injicere vilkårlige kommandoer på afstand. Sternum-forskere opdagede og rapporterede problemet til Belkin i januar 9, 2023, efter reverse-engineering af enheden og opnået firmwareadgang.
Wemo Mini Smart Plug V2 giver brugerne mulighed for at fjernstyre deres elektroniske enheder via en ledsagende app installeret på en smartphone eller tablet. Sårbarheden er forbundet med “Venligt Navn” funktion, som lader brugere omdøbe smartstikket fra standard “Wemo mini 6E9” til et navn efter eget valg, begrænset til 30 tegn eller færre. Men, firmwarekoden anvender ikke valideringsreglen, der håndhæves af appen.
Hvordan kan CVE-2023-27217 udnyttes?
Udnyttelsen involverer at bruge en fællesskabsfremstillet Python-app kaldet PyWeMo til at omgå Wemo-appen, gør det muligt for angriberen at ændre enhedsnavnet til mere end 30 tegn, resulterer i et bufferoverløb og fjernkommandoinjektion.
Desværre, Belkin informerede Sternum om, at enheden var ved slutningen af sin levetid, og ville derfor ikke modtage en rettelse. Fejlen blev rapporteret til Mitre Corporation og tildelt CVE-2023-27217-koden.
Hvis du stadig ejer et Wemo smart stik, Det anbefales, at du undgår at udsætte enhedens UPnP-porte for internettet og segmentere dit netværk for at isolere det fra Wi-Fi-forbundne enheder med mere følsomme oplysninger. Selvom disse generelt er gode trin at tage med internetforbundne IoT-enheder, de er måske ikke altid en pålidelig løsning.
Sådan beskyttes mod CVE-2023-27217
For at beskytte mod dette problem, Sternum forskere foreslår i deres rapport at Wemo Smart Plug V2 UPNP-portene ikke udsættes for internettet, enten direkte eller gennem port forwarding. Hvis Smart Plug V2 bruges i et følsomt netværk, det skal være korrekt segmenteret og ikke være i stand til at kommunikere med andre følsomme enheder på det samme undernet.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: