Sierra ha lanzado una alerta de seguridad mencionando que su modelo de enrutador AirLink, pensado para aplicaciones de Internet de las Cosas (IoT), están expuestos a la explotación de algunas vulnerabilidades conocidas, reportan especialistas en análisis forense informático.
Las vulnerabilidades que afectan a los dispositivos AirLink forman parte de una lista de 11 fallas de seguridad críticas en enrutadores de Sierra Wireless, publicada hace algunos días. Además, la compañía menciona que las vulnerabilidades también impactan en otros modelos de enrutadores que emplean el mismo software (ALEOS).
Este modelo de enrutador fue diseñado para operar en aplicaciones integradas, como la transmisión de datos en flotas de vehículos (recolección de datos de patrullas, por ejemplo), aplicación en entornos industriales (seguimiento de equipo en tiempo real). Por su parte, el software ALEOS se encarga de hacer funcionar los dispositivos en la práctica.
Siera Wireless corrigió siete vulnerabilidades, dos de ellas críticas, mencionan los expertos en análisis forense informático. Según se ha reportado, de ser explotadas con éxito, estas vulnerabilidades permitirían a un actor de amenazas ejecutar código de forma remota, extraer credenciales de usuario y encontrar rutas hacia archivos del sistema.
Las vulnerabilidades más severas son un error de inyección de comandos en el sistema operativo (identificada como CVE-2018-4061), además de una falla que permite cargar archivos sin restricción alguna. Las vulnerabilidades son consideradas críticas y han recibido un puntaje de 9.1/ en la escala del Common Vulnerability Scoring System (CVSS).
Acorde a los expertos en análisis forense informático, un atacante podría explotar fácilmente estas vulnerabilidades, empleando solamente una solicitud HTTP especialmente diseñada para después cargar un archivo que derivará en la carga de código ejecutable.
Las otras vulnerabilidades recibieron puntuaciones medias; entre estas se incluyó una falla de falsificación de solicitudes entre sitios, una vulnerabilidad para usar credenciales codificadas y un error de solicitud de ping HTTP que permite que se ejecute un JavaScript en el navegador del usuario.
Acorde a especialistas del Instituto Internacional de Seguridad Cibernética (IICS), la compañía también corrigió dos fallas de seguridad que impactan todos sus modelos de enrutadores que podrían exponerlos a múltiples variantes de hacking remoto.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
