LOADING CLOSE

Hiedra del demonio (Devil’s Ivy) en cámaras IoT

Hiedra del demonio (Devil’s Ivy) en cámaras IoT

Con cierta frecuencia, en el mundo de la ciberseguridad surge un ataque estrella. Por su gravedad, por su difusión, por sus efectos… Este ha sido el caso de la “Hiedra del demonio” (Devil’s Ivy), que es el nombre que ha recibido una vulnerabilidad que afecta a la librería gSOAP, una librería presente en el firmware de millones de cámaras IoT conectados a Internet, como parte del llamado Internet de las Cosas. No obstante, lo más preocupante es que al ser código abierto, probablemente estará incluida en aún más objetos. Es un componente utilizado por algunos miembros del ONVIF Consortium (Open Network Video Interface Forum – Foro de la interfaz de vídeo en la red abierta), que “provee y promociona interfaces estandarizadas para la efectiva interoperatividad de los productos de seguridad básicos conectados con una IP, lo que puede agravar todavía más el problema.

La vulnerabilidad permite a un atacante obtener acceso remoto total a una cámara conectada a Internet, de modo que el atacante podría desde instalar una puerta trasera en el dispositivo hasta bloquear al propietario del mismo para que no pueda entrar.

Axis, Bosch, Canon, D-Link, IBM, Microsoft, Panasonic, Sharp, Siemens, Sony, Toshiba… La lista de fabricantes afectados alcanza las 500 compañías. El pasado martes 18 dió la noticia la empresa Senrio, una empresa de ciberseguridad especializada en IoT que llevaba un mes investigando el fallo. Genivia, la compañía que desarrolla la librería gSOAP (una librería de código C/C++ donde se encuentra el fallo) ya ha publicado un parche de seguridad, pero ahora son los 34 fabricantes que integran la librería y las 500 compañías que comercializan dichos productos los que deberán asumir que Devil’s Ivy se ha extendido tanto y tan rápido que la vulnerabilidad podría permanecer largo tiempo sin parchear en una gran cantidad de dispositivos..

Para hacernos una idea de la magnitud de Devil’s Ivy basta con hacer una búsqueda en Shodan, buscador que recopila información sobre los dispositivos conectados al IoT. Solo buscando la marca “Axis” existen unas 14.000 direcciones IP localizadas. ¿Cuántos dispositivos vulnerables y accesibles localizaríamos si repetimos la acción con cada una de las marcas que utilizan la librería gSOAP?.

La seguridad es uno de los principales problemas del IoT, y por ello el propio INCIBE destaca que “los métodos de autenticación tienen que ser lo suficientemente seguros para que solamente el propietario pueda acceder, hay que crear contraseñas seguras y robustas y asegurarse de que los protocolos de comunicación estén siempre cifrados”. Quizás no sea la solución a Devil’s Ivy, pero sí uno de los mayores principios a tener en cuenta con cualquier dispositivo conectado a Internet.

Equipo NextCERT.

 

Deja un comentario