0 
0 Mais de 150 dispositivos de Internet das Coisas (IoT) — incluindo muitos que são usados no setor de saúde — de mais de 100 empresas correm risco aumentado de ataque devido a um conjunto de sete vulnerabilidades em um componente de acesso remoto de terceiros nos dispositivos.
Três dos bugs são classificados como críticos porque permitem que os invasores executem remotamente códigos maliciosos em dispositivos vulneráveis para assumir o controle total deles. As demais vulnerabilidades têm classificações de gravidade moderadas a altas e dão aos atacantes uma maneira de roubar dados ou executar ataques de negação de serviço.
As vulnerabilidades estão presentes em várias versões do agente PTC Axeda e do PTC Desktop Server — tecnologias que muitos fornecedores de IoT incorporam em seus dispositivos para permitir acesso e gerenciamento remotos. Pesquisadores do Vedere Labs e cyberMDX da Forescout que descobriram as vulnerabilidades estão rastreando-as coletivamente como “Access:7”.
Em um relatório resumindo suas descobertas esta semana, os pesquisadores descreveram o componente buggy como especialmente prevalente em dispositivos conectados à Internet usados no setor de saúde, como imagens médicas, laboratório, radioterapia e tecnologias cirúrgicas. A Forescout disse que uma varredura anonimizada de suas redes de clientes descobriu cerca de 2.000 dispositivos exclusivos com versões vulneráveis da Axeda neles. Desse modo, 55% foram implantados em organizações de saúde, 24% em organizações que desenvolvem produtos de IoT, 8% em TI, 5% em ambientes de serviços financeiros, 4% na fabricação e 4% em outras verticais.
Entre os dispositivos afetados — além de tecnologias relacionadas à saúde — estão caixas eletrônicos, sistemas SCADA, máquinas automáticas, sistemas de gerenciamento de caixa, gateways de IoT e tecnologias de monitoramento de ativos. Todas as versões da tecnologia Axeda abaixo do 6.9.3 são afetadas e o PTC liberou patches para todas as vulnerabilidades, disse a Forescout.
Daniel dos Santos, chefe de pesquisa de segurança da Forescout, diz que as vulnerabilidades são a prova de que as ferramentas de gerenciamento remoto representam um perigo não apenas no mundo de TI — como mostram ataques como o de Kaseya no ano passado — mas também para tecnologias médicas conectadas à IoT e à Internet.
“Portanto, é importante que as organizações tenham um inventário de dispositivos que estão sendo gerenciados remotamente e entendam como são gerenciados”, diz ele. “As organizações devem primeiro identificar os dispositivos vulneráveis na rede e, em seguida, certificar-se de que não estão expostos a essas vulnerabilidades, segmentando suas redes e limitando o tráfego nas portas vulneráveis.” Eles devem então remendar os dispositivos, quando possível, diz Dos Santos.
O conjunto de sete vulnerabilidades que o Forescout e o CyberMDX descobriram incluem aquelas decorrentes do uso de credenciais codificadas, autenticação ausente, limitação inadequada de um nome de caminho e verificação ou manuseio inadequado de exceções.
Os três bugs críticos de execução de código remoto que os fornecedores relataram ao PTC são CVE-2022-25251 no axeda xGate.exe agente, CVE-2022-25246 em AxedaDesktopServer.exe e CVE-2022-25247 no serviço ERemoteServer.exe.
As vulnerabilidades afetam diferentes componentes do agente, diz Dos Santos. Isso inclui uma ferramenta de configuração, que não deve estar presente em dispositivos de produção, uma ferramenta de servidor de desktop, um componente gateway e uma biblioteca compartilhada. “Portanto, é possível – e muitas vezes o caso – que nem todas as vulnerabilidades estarão presentes em um dispositivo”, diz ele.
As vulnerabilidades mais comuns serão as que afetam o gateway e a biblioteca. São eles: CVE-2022-25249, CVE-2022-25250; CVE-2022-25251 e CVE-2022-25252, diz Dos Santos.
Assessoria cisa
Um aviso da Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) descreveu as vulnerabilidades do Access:7 como afetando organizações em vários setores críticos de infraestrutura nos EUA e em todo o mundo. “A exploração bem-sucedida dessas vulnerabilidades — coletivamente conhecida como ‘Access:7’ — pode resultar em acesso total ao sistema, execução remota de código, configuração de leitura/alteração, acesso à leitura do sistema de arquivos, acesso a informações de registro ou uma condição de negação de serviço”, disse a CISA.
Dos Santos diz que a exposição a potenciais ataques que as organizações enfrentam a partir das vulnerabilidades dependerá dos setores em que atuam. É provável que as organizações de saúde tenham mais exposição física do que outros setores, pois há muitos espaços públicos em ambientes hospitalares e muitas interações com pacientes que requerem o uso de sistemas de TI. “No entanto, os dispositivos médicos raramente são expostos à Internet, o que é mais comum em outros setores, como serviços financeiros”, diz ele.
Dos Santos diz que os invasores precisariam ter algum tipo de acesso local prévio a uma rede para explorar as vulnerabilidades do Access:7. Mas para invasores que têm acesso local — via phishing ou explorando outra vulnerabilidade, por exemplo — as falhas são fáceis de explorar, diz ele. Os dispositivos podem ser identificados na rede por portas abertas específicas ou impressões digitais de rede, como banners HTTP, o que também não é difícil.
“Os tipos de ataques que podem ser realizados com essas vulnerabilidades são os mesmos entre as organizações, mas seu impacto é diferente”, diz Dos Santos. “Por exemplo, uma exfiltração de dados em saúde tem um impacto diferente de uma exfiltração de dados em uma organização de serviços financeiros.”
A Forescout publicou um relatório técnico contendo detalhes completos das falhas e também um post no blog sobre ele.
As vulnerabilidades Access:7 são outro lembrete do risco frequentemente subestimado que as organizações enfrentam a partir de dispositivos não-TI conectados à Internet. Ainda esta semana, outro fornecedor, armis, divulgou um conjunto de três vulnerabilidades críticas de zero-day em dispositivos smart-UPS da APC, uma subsidiária da Schneider Electric. Acredita-se que mais de 20 milhões de dispositivos UPS — que são usados como backups de energia — em todo o mundo, datados de 2005, contenham as vulnerabilidades que o Armis está se referindo coletivamente como TLStorm.
Se exploradas, as vulnerabilidades permitiriam que um invasor remoto assumisse o controle completo do dispositivo SmartUPS do APCs e realizasse uma série de atividades maliciosas, incluindo ligar e desligar os dispositivos ou destruir fisicamente o sistema. Armis, por exemplo, disse que foi capaz de explorar as falhas para fazer com que um dispositivo DE NOS vulnerável acendesse e vomitava fumaça.
Barak Hadad, chefe de pesquisa da Armis, diz que, como as vulnerabilidades podem ser exploradas remotamente, em alguns cenários os atacantes poderiam usá-las para entrar na rede corporativa interna. “Depois de entrar na rede, o invasor pode emitir todos os tipos de ataques, incluindo ransomware ou sabotagem deliberada”, diz ele. “Uma vez que os dispositivos UPS estão protegendo dispositivos críticos da missão contra a falha de energia, derrubar um UPS pode ter sérias implicações.”
De acordo com Hadad, o dano que os atacantes podem fazer através da exploração provavelmente vai variar. “A exploração física requer algum nível de compreensão do funcionamento interno da UPS”, observa. “Ligar ou desligar o UPS foi bastante fácil, mas mudar a forma de onda ou fazê-la pegar fumaça exigiu um nível mais profundo de compreensão.”
FONTE: DARK READING