El experto ha sido blanco de críticas por el método que usó para descubrir esta falla
Especialistas en seguridad en redes descubrieron recientemente una vulnerabilidad que expone a ataques de denegación de servicio (DoS) en los sistemas de entretenimiento en algunas aerolíneas. Acorde a expertos del Instituto Internacional de Seguridad Cibernética, cualquier aerolínea que trabaje con estos dispositivos, fabricados por la compañía Thales, podría estar expuesto.
El experto Hector Marco, quien descubrió la vulnerabilidad, ha sido criticado por su método de investigación. Durante un vuelo comercial, Marco pegó largas cadenas de texto en una aplicación de chat usando un mouse USB.
“Sentí la necesidad de hacer algunas revisiones de seguridad en los sistemas de entretenimiento de la aerolínea”, afirmó en su perfil de LinkedIn el experto en seguridad en redes cuando la vulnerabilidad (identificada como CVE-2019-9109) fue revelada.
El experto afirma que no estaba buscando una vulnerabilidad, sino que pretendía enviar un mensaje al sistema de chat de otro asiento. “Después de copiar y pegar varias veces el mensaje, la aplicación de chat desapareció repentinamente”, agregó.
En un video del incidente, se muestra a alguien operando el mouse e introduciendo una larga cadena de caracteres, posteriormente, la aplicación se congela, aunque al parecer ningún otro sistema de entretenimiento en el vuelo fue afectado.
Acorde a expertos en seguridad en redes, copiar y pegar cadenas de texto largas en un campo de entrada es una de las más conocidas técnicas empleadas en pruebas de penetración. Ayuda a los pentesters a verificar si es posible realizar un desbordamiento de bufer (cuando el software es incapaz de verificar que la cantidad de datos ingresados cabe en el bufer de memoria). Sobrecargar el bufer con datos maliciosos podría llevar a una ejecución de código arbitraria.
El experto afirma que contactó inmediatamente a las partes interesadas. Mientras que Thales no respondió a las declaraciones de Marco, Boeing portavoces de Boeing comentaron: Cada una de nuestras capas de protección están diseñadas para garantizar la seguridad de todos los sistemas críticos del vuelo”.
Algunas de las aerolíneas que sean el equipo de Thales vulnerable son British Airlines, Oman Air, Hong Kong Airlines, entre otras. No existen pruebas de que estos dispositivos sean afectados por otras vulnerabilidad.
Al ser cuestionado sobre las críticas que recibió su trabajo por parte de la aerolínea donde viajaba, el experto declaró que las personas que lo criticaron se basaban en información incompleta. “Sólo trataba de que esta clase de fallas no pasara desapercibida por las aerolíneas y la comunidad de la ciberseguridad, realmente considero que estos inconvenientes deben ser atendidos tanto por las empresas como por los proveedores de los equipos vulnerables”.
Es un conocido experto en seguridad móvil y análisis de malware. Estudió Ciencias de la Computación en la NYU y comenzó a trabajar como analista de seguridad cibernética en 2003. Trabaja activamente como experto en antimalware. También trabajó para empresas de seguridad como Kaspersky Lab. Su trabajo diario incluye investigar sobre nuevos incidentes de malware y ciberseguridad. También tiene un profundo nivel de conocimiento en seguridad móvil y vulnerabilidades móviles.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
