A gigante americana de energia e eletrônica Eaton corrigiu uma vulnerabilidade de segurança que permitia que um pesquisador de segurança acessasse remotamente milhares de sistemas inteligentes de alarme de segurança.
O pesquisador de segurança Vangelis Stykas disse que encontrou a vulnerabilidade no SecureConnect da Eaton , um sistema baseado em nuvem que permite aos clientes acessar remotamente, gerenciar e armar e desarmar seus sistemas de alarme de segurança a partir de um aplicativo móvel.
Stykas disse que a vulnerabilidade permite que qualquer pessoa se inscreva como um novo usuário e atribua essa conta a qualquer outro grupo de usuários, incluindo um grupo “root”, que tem acesso a todos os sistemas de alarme inteligentes conectados à nuvem da Eaton.
A vulnerabilidade é conhecida como referência de objeto direto inseguro, ou IDOR, uma classe de bug de segurança que permite acesso não verificado a arquivos, dados ou contas de usuário devido a controles de acesso fracos ou ausentes em um servidor. Stykas disse que o bug era fácil de explorar usando ferramentas man-in-the-middle como o Burp Suite, interceptando o número do grupo do novo usuário e trocando-o pelo número do grupo raiz, que era simplesmente “1”.
Stykas disse que adicionar um usuário ao grupo raiz “dava acesso a tudo”, incluindo o nome e endereço de e-mail do usuário registrado e a localização de cada sistema de alarme de segurança conectado. Stykas disse que o acesso poderia permitir que um invasor em potencial controlasse remotamente os sistemas de alarme de segurança conectados à nuvem da Eaton – embora ele não tenha tentado fazer isso.
Em uma notificação de segurança publicada em seu site, a Eaton confirmou que o bug foi descoberto em sua lógica de autorização de acesso de grupo.
Jonathan Hart, porta-voz da Eaton, disse que a vulnerabilidade foi corrigida em maio. Hart se recusou a dizer quantos clientes de alarmes inteligentes ela tem, embora Stykas tenha dito que o número de sistemas de alarmes inteligentes conectados da Eaton está na casa das dezenas de milhares.
A Eaton se recusou a dizer se a vulnerabilidade permitia o controle remoto de sistemas de alarme de segurança conectados. Eaton disse que a vulnerabilidade foi “verificada como um único evento”, mas não disse como chegou a essa conclusão ou se a empresa possui os meios técnicos, como sistemas de registro, para determinar se a vulnerabilidade foi descoberta ou explorada anteriormente.
Fonte leia mais: https://techcrunch.com/2023/06/16/eaton-secureconnect-security-alarm-vulnerability/
