Controladores de portas de garagem abertos ao sequestro, graças a vulns de segurança não corrigidos

0 0

Controladores de porta de garagem, plugues inteligentes e alarmes inteligentes vendidos pela Nexx contêm vulnerabilidades de segurança cibernética que podem permitir que os ciberatacantes quebrem as portas da garagem aberta, assumam os plugues inteligentes e obtenham o controle remoto de alarmes inteligentes, de acordo com a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA).

E embora o pesquisador independente de segurança cibernética Sam Sabetan tenha relatado que descobriu várias vulnerabilidades no final de 2022 e alertou a Nexx sobre os problemas, a empresa ainda não respondeu.

A Nexx também não respondeu ao pedido de comentário da Dark Reading.

O aviso de 4 de abril da CISA aplica-se a três produtos específicos da Nexx Internet of Things (IoT): Nexx Garage Door Controller (NXG-100B, NXG-200), versão nxg200v-p3-4-1 e anterior; Nexx Smart Plug (NXPG-100W), versão nxpg100cv4-0-0 e anteriores; e Nexx Smart Alarm (NXAL-100), versão nxal100v-p1-9-1 e anteriores.

Os produtos Nexx têm cinco vulnerabilidades identificadas, de acordo com a CISA, a mais alta das quais tem uma pontuação crítica de gravidade de vulnerabilidade CVSS de 9,3.

1. CVE-2023-1748: Uso de credenciais codificadas CWE-798 (CVSS 9.3)
2. CVE-2023-1749: Bypass de autorização por meio da chave controlada pelo usuário CWE-639 (CVSS 6.5)
3. CVE 2023-1750: Bypass de autorização por meio da chave controlada pelo usuário CWE-639 (CVSS 7.1)
4. CVE-2023-1751: Validação de entrada imprópria CWE-20 (CVSS 7.5)
5. CVE-2023-1752: Autenticação imprópria CWE-287 (CVSS 8.1)

Até que a Nexx emita uma correção, a Sabetan e a CISA recomendam que os usuários desconectem os dispositivos afetados.

“Se você é um cliente da Nexx, eu recomendo fortemente desconectar seus dispositivos e entrar em contato com a Nexx para perguntar sobre as etapas de correção”, disse Sabetan em sua divulgação. “É crucial que os consumidores estejam cientes dos riscos potenciais associados aos dispositivos IoT e exijam padrões de segurança mais altos dos fabricantes”.

FONTE: DARK READING