Ειδικοί στον χώρο της κυβερνοασφάλειας έχουν αναδείξει πολλές ευπάθειες στα modem Cinterion, οι οποίες μπορεί να επιτρέψουν σε χάκερ την πρόσβαση σε ευαίσθητα δεδομένα και την εκτέλεση αυθαίρετου κώδικα.
«Αυτές οι ευπάθειες παρατηρούνται σε κρίσιμα τεχνικά ελαττώματα που δίνουν τη δυνατότητα για απομακρυσμένη εκτέλεση κώδικα και για μη εξουσιοδοτημένη αναβάθμιση προνομίων, εκθέτοντας σε σοβαρούς κινδύνους τα ενσωματωμένα δίκτυα επικοινωνίας και τις συσκευές IoT, τα οποία είναι κρίσιμα για τους τομείς της βιομηχανίας, υγείας, αυτοκινητοβιομηχανίας, οικονομικού και τηλεπικοινωνιών», σύμφωνα με την Kaspersky.
Διαβάστε επίσης: Google: Διορθώνει νέα zero-day ευπάθεια στον Chrome browser
Τα modem Cinterion αναπτύχθηκαν αρχικά από την εταιρεία Gemalto, η οποία στη συνέχεια αγοράστηκε από την Telit μέσα από μια συμφωνία που ανακοινώθηκε τον Ιούλιο του 2022, υπό την αιγίδα της Thales.
Τα ευρήματα αυτά παρουσιάστηκαν επισήμως στο OffensiveCon, ένα συνέδριο που πραγματοποιήθηκε στο Βερολίνο στις 11 Μαΐου. Δόθηκε στο κοινό μια λίστα με τα οκτώ ελαττώματα.
CVE-2023-47610 (βαθμολογία CVSS: 8.1) – Μια ευπάθεια διαρροής της μνήμης buffer που επιτρέπει σε απομακρυσμένους χάκερ να εκτελούν αυθαίρετο κώδικα στο στοχευμένο σύστημα, χωρίς να απαιτείται επαλήθευση ταυτότητας, μέσω της αποστολής ενός ειδικά σχεδιασμένου μηνύματος SMS.
CVE-2023-47611 (βαθμολογία CVSS: 7,8) – Μια ευπάθεια στη διαχείριση προνομίων, η οποία θα μπορούσε να επιτρέψει σε έναν χάκερ με χαμηλά προνόμια να αποκτήσει προνόμια επιπέδου διαχειριστή στο στοχευόμενο σύστημα.
CVE-2023-47612 (βαθμολογία CVSS: 6,8) – Ένα ζήτημα ευπάθειας σε αρχεία ή φακέλους, τα οποία είναι προσβάσιμα από εξωτερικές πηγές, μπορεί να επιτρέψει σε έναν χάκερ με φυσική πρόσβαση στον υπολογιστή προορισμού να αποκτήσει δικαιώματα ανάγνωσης και εγγραφής σε οποιοδήποτε αρχείο ή φάκελο του στοχευμένου συστήματος, συμπεριλαμβανομένων των κρυφών αρχείων και φακέλων.
CVE-2023-47613 (βαθμολογία CVSS: 4.4) – Ένας κίνδυνος ασφαλείας που σχετίζεται με την ανεπαρκή επεξεργασία των διαδρομών αρχείων μπορεί να επιτρέψει σε έναν χάκερ με χαμηλά δικαιώματα να παρακάμψει τους εικονικούς φακέλους και να αποκτήσει δικαιώματα ανάγνωσης και εγγραφής σε αρχεία που είναι προστατευμένα.
CVE-2023-47614 (βαθμολογία CVSS: 3.3) – Αποκάλυψη ευπάθειας σε ευαίσθητα δεδομένα, που θα μπορούσε να επιτρέψει σε έναν χάκερ με χαμηλά δικαιώματα να ανακαλύψει κρυφές εικονικές διαδρομές και ονόματα αρχείων στο στοχευμένο σύστημα.
CVE-2023-47615 (βαθμολογία CVSS: 3.3) – Η αποκάλυψη ευαίσθητων δεδομένων λόγω ευπάθειας στις περιβαλλοντικές μεταβλητές μπορεί να επιτρέψει σε χάκερ με χαμηλά δικαιώματα να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε ένα στοχευμένο σύστημα.
CVE-2023-47616 (βαθμολογία CVSS: 2.4) – Η ευπάθεια αυτή μπορεί να επιτρέψει σε χάκερ με φυσική πρόσβαση στον υπολογιστή- στόχο, να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα του συστήματος.
Οι ερευνητές ασφαλείας Sergey Anufrienko και Alexander Kozlov έχουν πιστωθεί ότι ανακάλυψαν και ανέφεραν τα ελαττώματα, τα οποία αποκαλύφθηκαν επίσημα από το Kaspersky ICS CERT σε μια σειρά από συμβουλές που δημοσιεύθηκαν στις 8 Νοεμβρίου 2023.
«Δεδομένου ότι τα modem είναι συνήθως ενσωματωμένα σε στυλ matryoshka, όπου προϊόντα ενός προμηθευτή στοιβάζονται με αυτά ενός άλλου, η κατάρτιση λίστας με τα τελικά επηρεαζόμενα προϊόντα αποδεικνύεται περίπλοκη”, επισημαίνει ο Evgeny Goncharov, επικεφαλής του Kaspersky ICS CERT».
Δείτε ακόμα: LiteSpeed Cache plugin: Hackers αποκτούν τον έλεγχο WordPress sites μέσω ευπάθειας
Για την αντιμετώπιση και μείωση πιθανών απειλών, είναι συνιστώμενο για τις οργανώσεις να απενεργοποιούν τις μη απαραίτητες λειτουργίες ανταλλαγής μηνυμάτων SMS, να υιοθετούν τη χρήση ονομάτων σημείων πρόσβασης (APN), να εξασφαλίζουν τον έλεγχο της φυσικής πρόσβασης στις συσκευές και να πραγματοποιούν συστηματικούς ελέγχους ασφαλείας και ενημερώσεις λογισμικού.
Πηγή: thehackernews
