Secondo un’analisi del Team82 di Claroty, sono dieci le falle alla sicurezza che, se combinate, consentono agli aggressori di eseguire un codice da remoto sui dispositivi IoT connessi al cloud OvrC. Queste falle interessano sia OvrC Pro che OvrC Connect. Otto delle dieci vulnerabilità sono state risolte con aggiornamenti rilasciati a maggio 2023 tramite l’avviso ICSA-23-136-01. Le due restanti invece sono state corrette recentemente con un ulteriore aggiornamento.
Sicurezza versus sviluppo di nuove funzionalità
È bene ricordare che quando si parla di cybersicurezza dei dispositivi IoT esistono alcune problematiche ricorrenti. I produttori di questi device connessi, infatti, tendono a trascurarne la sicurezza in favore dello sviluppo di nuove funzionalità, ponendo in secondo piano solidimetodi di autenticazione o controlli di accesso efficaci. I dispositivi IoT utilizzano spesso protocolli deboli o obsoleti per la comunicazione con il cloud, senza adottare soluzioni di crittografia a protezione dei dati. Questo approccio è alimentato dalla breve durata del ciclo di vita dei dispositivi IoT rispetto a quelli IT o OT. Oltre a fattori come costi, complessità e carenza di competenze specifiche. Tuttavia, l’incremento di dispositivi connessi e gestiti tramite piattaforme cloud crea un ambiente fertile per gli attacchi informatici. Mettendo a rischio servizi essenziali, dati sensibili e attività aziendali.
Falle nei dispositivi IoT connessi a OvrC, piattaforma utilizzata in tutto il mondo
In questo contesto si inserisce la ricerca del Team82, che ha esaminato la piattaforma OvrC cloud, una soluzione per la gestione e il monitoraggio remoto basata su cloud. OvrC è stata acquisita nel 2014 da SnapOne, azienda Usa specializzata in automazione, in particolare per dispositivi IoT smart. Consente la configurazione, il monitoraggio e la risoluzione dei problemi dei dispositivi tramite un’app mobile o un’interfaccia utente basata su websocket. La piattaforma supporta dispositivi come endpoint di automazione domestica, interruttori smart, videocamere, router e molto altro. Secondo un webinar del 2020 di OvrC, circa 9,2 milioni di dispositivi erano monitorati dalla piattaforma. È quindi plausibile che le vulnerabilità segnalate abbiano interessato circa 10 milioni di dispositivi a livello globale.
Vulnerabilità che compromettono il funzionamento del device
La ricerca ha identificato dieci vulnerabilità sia in OvrC Pro, che offre visibilità, diagnosi e dati per la gestione remota dei dispositivi, sia in OvrC Connect, app mobile per la configurazione e il troubleshooting. Attraverso queste falle gli aggressori potrebbero accedere ai dispositivi, controllarli e comprometterne il funzionamento. L’elenco di tali dispositivi comprende alimentatori smart, videocamere, router, sistemi di automazione domestica e molto altro.
I tanti problemi causati dalle falle nei dispositivi IoT connessi a OvrC
Gli attacchi sfruttano la possibilità di aggirare misure di sicurezza come firewall e NAT. Consentendo in questo modo di profilare i dispositivi, rivendicarne il controllo, elevare i privilegi ed eseguire un codice arbitrario. Tali problematiche derivano da un’attenzione insufficiente all’interfaccia dispositivo-cloud, fenomeno comune anche a molte altre piattaforme IoT. Questi problemi spaziano da controlli di accesso carenti, elusione dell’autenticazione, errori nella validazione degli input, credenziali hardcoded e vulnerabilità di esecuzione remota del codice.
Bilanciareinnovazione e cybersecurity
Con il crescente aumento di dispositivi connessi ogni giorno e la gestione cloud ormai predominante per configurare e accedere ai servizi, è più che mai fondamentale che i produttori e i fornitori di servizi cloud investano nella sicurezza per proteggere connessioni e dispositivi. È, inoltre, importante sottolineare come le vulnerabilità e le debolezze identificate dal Team82 non siano un’eccezione. In realtà sono sintomatiche di un settore che ancora fatica a bilanciare innovazione e cybersecurity, lasciando campo aperto ai malintenzionati per sfruttarne le debolezze.
