26
Умные устройства в сети — больше не помощники, а потенциальные враги. С каждым новым термостатом или телевизором, подключённым к интернету, в инфраструктуре появляется новая дыра. Об этом напоминает свежая угроза , обнаруженная в широко используемых WiFi-термостатах Network Thermostat X-Series. Уязвимость признана критической: по шкале CVSS она получила 9.8 балла из 10. Если такой прибор подключён к интернету — он беззащитен. Но даже за файрволом его можно использовать как точку входа в корпоративную или промышленную сеть.
Как сообщил специалист по кибербезопасности Совик Кандар из MicroSec, встроенный веб-сервер в этих термостатах не требует аутентификации. Нападающему достаточно находиться в одной сети или получить доступ через Port Forwarding, чтобы обнулить учётные данные и перехватить полный контроль над устройством. Сценарий абсолютно реален — особенно в условиях, когда IoT-устройства почти не получают обновлений и часто остаются без надзора.
Это далеко не первая атака на термостаты. В прошлом году аналогичную угрозу представляли устройства Bosch: они позволяли загружать произвольную прошивку и полностью компрометировать управление. Проблема — в общей архитектуре IoT. Такие устройства не защищены по умолчанию, а их распространение в критически важных зонах — от офисов до производств — делает их удобным трамплином для атак.
Но и это не всё. В том же отчёте представитель MicroSec раскрыл ещё одну опасную уязвимость — на этот раз в системах видеонаблюдения LG Innotek . Устаревшая модель LNV5110R до сих пор активно используется в коммерческих объектах, несмотря на то, что уже снята с поддержки. Уязвимость позволяет выполнить удалённое выполнение произвольного кода на уровне администратора: достаточно загрузить специальный HTTP POST-запрос в энергонезависимую память камеры. Это открывает путь к тотальному контролю над системой наблюдения, с возможностью установки троянов, скрытого видеонаблюдения или выхода на другие сегменты сети.
Но, по словам Кандара, даже они — не самая слабая точка. Он утверждает, что Smart TV — главная ахиллесова пята любой современной инфраструктуры. Почти все модели на Android имеют открытую отладку через ADB-порт, не защищённую ни паролем, ни даже предупреждением. Такие телевизоры есть везде — от конференц-залов до больничных палат, от аэропортов до серверных. Захватить управление можно дистанционно — и это уже не теория: доказательства концепции выложены в открытый доступ на YouTube. Через телевизор возможно не только получить доступ к просмотру экрана, но и начать масштабную атаку по всей локальной сети.
Кандар, на счету которого уже 21 CVE-уязвимость, подводит тревожную черту: IoT-устройства — это не просто риски, а активные векторы атаки, незаметные и привычные. Многие из них изначально доверяются системе, редко получают обновления, а их взлом не вызывает подозрений, пока не становится слишком поздно.
Компания Bitdefender, также участвующая в мониторинге угроз, рекомендует полностью изолировать все IoT-устройства от основной сети, ограничив их доступ через VLAN или отдельный маршрутизатор. Особенно важно исключить любой прямой выход в интернет. Даже VPN, которые часто используют для защищённого доступа, могут стать уязвимыми, если не обновляются и не настроены должным образом. Как отмечает CISA, безопасность VPN определяется не столько шифрованием, сколько состоянием подключённого оборудования.
Пока CISA не зафиксировала попыток эксплуатации новых уязвимостей в дикой среде. Но это вопрос времени. Агентство призывает срочно ограничить сетевую видимость всех промышленных и IoT-устройств, исключить доступ снаружи и использовать защищённые методы связи только в случае крайней необходимости. Это не рекомендации — это инструкция по выживанию.
https://www.securitylab.ru/news/561823.phpРазмещено через приложение ЯПлакалъ
yaplakal.com