Det rumænske cybersikkerhedsfirma Bitdefender har afsløret flere sikkerhedssårbarheder i Bosch BCC100-termostater og Rexroth NXA015S-36V-B smarte muttertrækkere. Hvis den udnyttes med succes, disse sårbarheder kan give angribere mulighed for at udføre vilkårlig kode på de berørte systemer, rejser bekymringer om det potentielle kompromittering af kritiske operationer og produktsikkerhed.
CVE-2023-49722 Bosch BCC100 termostater sårbarhed
Bitdefender, som opdagede fejlen i Bosch BCC100 termostater i august sidste år, fremhævet en høj alvorlig sårbarhed sporet som CVE-2023-49722. fejlen, med en CVSS score på 8.3, tilladt en uautoriseret forbindelse gennem en altid åben netværksport (havn 8899) i BCC101/BCC102/BCC50 termostatprodukter. Denne sårbarhed, bor i WiFi-mikrocontrolleren, der fungerer som en netværksgateway, kunne gøre det muligt for angribere at ændre enhedens firmware og implantere en falsk version. Bosch behandlede dette problem i november 2023 ved at lukke havn 8899 i firmwareversion 4.13.33, oprindeligt brugt til debugging formål.
Udnyttelse af denne fejl kan tillade angribere at sende kommandoer til termostaten, potentielt gør enheden ubrugelig. Andre konsekvenser omfatter at fungere som en bagdør til at opsnuse trafik, dreje på andre enheder, eller deltage i andre ondsindede aktiviteter.
Rexroth NXA015S-36V-B Fejl ved møtrikker
Bosch er også blevet advaret om over to dusin fejl i Rexroth Nexo akku-møtrikker. Nozomi netværk, en operationel teknologi (OT) sikkerhedsfirma, understregede alvoren af disse fejl, i betragtning af, at NXA015S-36V-B er certificeret til sikkerhedskritiske opgaver. En uautoriseret angriber kan udnytte disse sårbarheder til at forstyrre driften, manipulere med kritiske konfigurationer, og potentielt installere ransomware.
Fejlene kan føre til fjernudførelse af vilkårlig kode (RCE) med root-rettigheder, kompromittere sikkerheden af samlede produkter ved at fremkalde suboptimal tilspænding eller forårsage skade på grund af overdreven tilspænding. Nozomi Networks fremhævede også potentialet for angribere til at gøre alle værktøjer på en produktionslinje utilgængelige, resulterer i betydelige forstyrrelser.
Afhjælpning og fremtidige løsninger
Bosch planlægger at frigive patches, der adresserer disse sårbarheder inden udgangen af januar 2024. I mellemtiden, brugere anbefales kraftigt at begrænse netværkets tilgængelighed for de berørte enheder og gennemgå konti med login-adgang. I betragtning af den potentielle indvirkning på kritiske operationer og sikkerhed, Hurtig handling er afgørende for at mindske de risici, der er forbundet med disse sårbarheder.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: