Misfortune Cookie CVE-2014-9222 Falha de volta em dispositivos médicos

CVE-2014-9222, mais conhecida como a vulnerabilidade Misfortune Cookie, é uma falha de segurança grave que foi divulgada há quatro anos quando estava afetando os roteadores. Relatórios revelam que a vulnerabilidade está novamente ativa na natureza. Desta vez, os invasores estão aproveitando-o contra dispositivos médicos. A classificação de gravidade do Misfortunate Cookie é 9.8, que é uma classificação bastante alta.

Mais sobre Misfortune Cookie aka. CVE-2014-9222

A descrição oficial do CVE-2014-9222 é:

AllegroSoft RomPager 4.34 e anteriores, conforme usado nos produtos Huawei Home Gateway e outros fornecedores e produtos, permite que invasores remotos obtenham privilégios por meio de um cookie criado que aciona a corrupção de memória, também conhecido como o “Biscoito de Infortúnio” vulnerabilidade.

Pela primeira vez, o bug Misfortune Cookie foi detectado em 2014 por pesquisadores da Check Point. Naquela época, os pesquisadores descobriram que a falha afetou os roteadores SOHO de gateway residencial de vários fornecedores. Em caso de exploração, a vulnerabilidade permitiu que hackers sequestrassem dispositivos à distância.

De acordo com um novo aviso de segurança por ICS CERT, CVE-2014-9222 agora está presente em sistemas de dispositivos médicos. O equipamento que parece ser afetado é o Datacaptor Terminal Server (DTS) – um gateway de dispositivo médico desenvolvido pela Capsule Technologies SAS, subsidiária da Qualcomm Live. O pior é que esse gateway é implantado em hospitais onde conecta dispositivos médicos a infraestruturas de rede maiores.

Veja o que diz a nova assessoria:

As seguintes versões do Capsule Datacaptor Terminal Server (DTS), parte de um sistema de informação de dispositivos médicos, são afetados: Versões do servidor web integrado Allegro RomPager 4.01 através 4.34 incluído na cápsula DTS, todas as versões afetadas.

Cabe destacar que foram os pesquisadores da CyberMDX que descoberto a presença de Misfortune Cookie nesses dispositivos.

CyberMDX descobriu uma vulnerabilidade anteriormente não documentada no dispositivo, observando que o Capsule Datacaptor Terminal Server da Qualcomm Life (um gateway de dispositivo médico) está exposto ao “cookie de infortúnio” CVE-2014-9222. Isso abre a possibilidade de gravação remota de memória arbitrária, o que pode levar a login não autorizado e execução de código.

A empresa acredita que a versão do RomPager em uso é uma versão mais antiga, antes da versão 4.07, que é suscetível ao cookie de infortúnio. Versões mais atualizadas do componente não devem ser afetadas:

O gerenciamento web usa um componente de software chamado “Rom PagerGenericName” da AllegroSoft. o “Rom PagerGenericName” versão que está sendo usada pelo Capsule Datacaptor Terminal Server é de uma versão anterior 4.07, e torna-se vulnerável ao CVE-2014-9222, AKA “Biscoito de Infortúnio”.

A boa notícia é que a Capsule lançou uma atualização de firmware para remediar o CVE-2014-9222 na versão “Single Board” do DTS, originalmente lançado em meados de 2009. “A Capsule recomenda a todos os clientes com uma versão de placa única do DTS que baixem o firmware do Portal do Cliente da Capsule e o apliquem aos dispositivos afetados seguindo seus processos de patch padrão,” diz a nova assessoria.