Un grupo de expertos descubrió tres vulnerabilidades en ocho televisores inteligentes Sony Bravia, una de ellas calificada como crítica
La administración de parches de actualización es una labor crucial para el mantenimiento de los dispositivos de Internet de las Cosas (IOT), pues los objetos inteligentes nos rodean y representan un objetivo primordial para los hackers maliciosos.
Un equipo de expertos en forense digital descubrió recientemente tres vulnerabilidades (un desbordamiento de búfer, un cruce de directorios y un problema de inyección de comandos) en ocho televisores inteligentes Sony Bravia, uno de ellos calificado como crítico.
Los modelos de smart tv Sony Bravia afectados incluyen R5C, WD75, WD65, XE70, XF70, WE75, WE6 y WF6.
La vulnerabilidad más grave, identificada como CVE-2018-16593, es una falla de inyección de comandos que reside en la aplicación Photo Sharing Plus de Sony que permite a los usuarios compartir contenido multimedia desde sus dispositivos móviles a través de una Smart TV de Sony.
Acorde a los expertos en forense digital, un atacante debe compartir en la misma red inalámbrica que el televisor Sony para desencadenar la vulnerabilidad.
“Esta aplicación maneja los nombres de los archivos incorrectamente cuando el usuario carga un archivo multimedia. Un atacante puede abusar de este mal manejo del nombre de archivo para ejecutar comandos arbitrarios en el sistema, lo que puede resultar en la ejecución remota completa del código con privilegios de raíz”, mencionan los investigadores en su informe de seguridad.
Las vulnerabilidades restantes también afectan la aplicación Photo Sharing Plus de Sony que se ejecuta en Sony Bravia. El desbordamiento de búfer (CVE-2018-16595) es una “vulnerabilidad de corrupción de memoria vinculada a la falta de desinfección de la entrada del usuario”, mencionaron los expertos.
“Esta es una vulnerabilidad de corrupción de memoria que resulta de una verificación de tamaño insuficiente de la entrada del usuario. Con una solicitud HTTP POST suficientemente larga enviada a la URL correspondiente, la aplicación se bloqueará”, continúa el aviso.
El tercer error es una vulnerabilidad de cruce de directorios rastreada como CVE-2018-16594 que se relaciona con la forma en que la aplicación Photo Sharing Plus maneja los nombres de los archivos.
“La aplicación maneja los nombres de los archivos de manera incorrecta al recibir el archivo de entrada de un usuario mediante la carga de una URL. Un atacante puede cargar un archivo arbitrario con un nombre de archivo falso que luego puede atravesar todo el sistema de archivos”.
Acorde a especialistas en forense digital del Instituto Internacional de Seguridad Cibernética, Sony ha proporcionado un parche de actualización para solucionar las vulnerabilidades, las correcciones deben ser aprobadas por el usuario en sus dispositivos Sony Bravia Smart TV.
“Si su televisor está configurado para recibir actualizaciones automáticamente cuando está conectado a Internet, ya debería haberse actualizado. Esta es la configuración predeterminada para los modelos afectados”, menciona el aviso de seguridad publicado por Sony.
“Para verificar que su televisor ha sido actualizado, visite la sección de Descargas de la página de productos de su modelo. Haga clic en el enlace Actualización de firmware para obtener detalles sobre cómo verificar la versión del software. Si su televisor aún no se ha actualizado, siga las instrucciones para descargar e instalar la actualización”, concluye el aviso de la empresa.
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
