Falhas em GPS populares permitem que hackers interrompam e rastreiem veículos

Falhas em GPS populares permitem que hackers interrompam e rastreiem veículos. Alerta vem da Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e a empresa de segurança BitSight na terça-feira.

Falhas descobertas em um dispositivo GPS usado no gerenciamento de frotas podem permitir que invasores interrompam remotamente as operações e monitorem os movimentos dos veículos, alertaram a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) e a empresa de segurança BitSight na terça-feira.

A BitSight informou que descobriu seis falhas no dispositivo MV720 do fornecedor chinês MiCODUS, projetado para ser conectado a veículos. De acordo com anúncios no site do MiCODUS, o dispositivo permite que os veículos sejam rastreados em tempo real por meio de mensagens de texto e um aplicativo. Ele também inclui um recurso de desligamento remoto que depende da desativação do circuito de combustível do veículo. 

As falhas divulgadas pela BitSight e CISA incluem problemas de autenticação que podem permitir que esses recursos sejam sequestrados – potencialmente colocando os motoristas em perigo e interrompendo as cadeias de suprimentos.

As vulnerabilidades descobertas pela BitSight podem impactar diretamente nosso mundo físico, potencialmente resultando em consequências desastrosas para indivíduos e organizações se não forem abordadas”, disse o CEO da BitSight, Stephen Harvey, em um comunicado à imprensa . “A implementação de dispositivos conectados à Internet, como os rastreadores GPS MiCODUS, pode expandir a superfície de ataque de uma organização e expor consumidores individuais a novos riscos.

A BitSight disse que a empresa de segurança e a CISA “determinaram que essas vulnerabilidades” exigiam divulgação depois que seu contato com o MiCODUS foi “desconsiderado”. A CISA relatou que não havia patches ou atualizações disponíveis para corrigir os problemas. Duas das falhas –CVE-2022-2107eCVE-2022-2141— receberam uma pontuação CVSS de 9,8, significando uma ameaça crítica.

O MiCODUS não respondeu imediatamente ao pedido de comentário do The Record sobre as divulgações. 

O relatório da BitSight envolveu o dispositivo MV720 – o modelo mais básico, vendido por cerca de US$ 20 – mas os pesquisadores acreditam que outros dispositivos do fabricante podem ser vulneráveis ​​a problemas semelhantes refletidos na arquitetura da empresa. 

Os dispositivos MiCODUS parecem ser implantados em todo o mundo. O site do fabricante descreve sua plataforma como uma “plataforma segura, aberta e escalável” disponível em mais de trinta idiomas e conectada a mais de um milhão de dispositivos. 

A BitSight relatou observar “2.354.603 conexões com o servidor MiCODUS em 169 países”, com uso aparente por “uma ampla gama de organizações, incluindo uma empresa de energia da Fortune 50, um exército nacional na América do Sul, um governo nacional na Europa Ocidental, uma lei nacional organização de fiscalização na Europa Ocidental e um operador de usina nuclear”.

Fonte: The Record

Veja também:

Sobre mindsecblog 1781 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.

1 Trackback / Pingback

  1. Atlassian alerta vulnerabilidades críticas potencialmente exploradas

Deixe sua opinião!