Peneliti keamanan siber telah menemukan beberapa kelemahan keamanan dalam platform manajemen cloud yang dikembangkan oleh Ruijie Networks yang memungkinkan penyerang mengambil kendali peralatan jaringan.
“Kerentanan ini mempengaruhi platform Reyee, serta perangkat jaringan Reyee OS,” kata peneliti Claroty, Noam Moshe dan Tomer Goldschmidt dalam analisis terbaru. “Kerentanan tersebut, jika dieksploitasi, dapat memungkinkan penyerang jahat mengeksekusi kode pada perangkat apa pun yang mendukung cloud, sehingga memberi mereka kemampuan untuk mengontrol puluhan ribu perangkat.”
Perusahaan keamanan teknologi operasional (OT), yang melakukan penelitian mendalam terhadap vendor Internet of Things (IoT), mengatakan tidak hanya mengidentifikasi 10 kelemahan tetapi juga merancang serangan yang disebut “Open Sesame” yang dapat digunakan untuk meretas titik akses dalam jarak fisik yang dekat melalui cloud dan mendapatkan akses tidak sah ke jaringannya.
Dari 10 kerentanan, tiga di antaranya berperingkat Kritis dalam tingkat keparahannya –
- CVE-2024-47547 (skor CVSS 9,4) – Penggunaan mekanisme pemulihan kata sandi yang lemah sehingga membuat mekanisme otentikasi rentan terhadap serangan brute force
- CVE-2024-48874 (skor CVSS 9,8) – Kerentanan pemalsuan permintaan sisi server (SSRF) yang dapat dieksploitasi untuk mengakses layanan internal yang digunakan oleh Ruijie dan infrastruktur cloud internal mereka melalui layanan metadata cloud AWS
- CVE-2024-52324 (skor CVSS: 9.8) – Penggunaan fungsi berbahaya yang memungkinkan penyerang mengirim pesan MQTT berbahaya yang dapat mengakibatkan perangkat menjalankan perintah sistem operasi sewenang-wenang
Penelitian Claroty juga menemukan bahwa mudah untuk memecahkan otentikasi MQTT hanya dengan mengetahui nomor seri perangkat (CVE-2024-45722, skor CVSS: 7.5), kemudian memanfaatkan akses ke broker MQTT Ruijie untuk menerima daftar lengkap semua cloud- nomor seri perangkat yang terhubung.
“Dengan menggunakan nomor seri yang bocor, kami dapat menghasilkan kredensial otentikasi yang valid untuk semua perangkat yang terhubung ke cloud,” kata para peneliti. “Ini berarti bahwa kami dapat melakukan berbagai serangan penolakan layanan, termasuk memutuskan sambungan perangkat dengan mengautentikasi atas nama perangkat tersebut, dan bahkan mengirimkan pesan dan kejadian palsu ke cloud; mengirimkan data palsu kepada pengguna perangkat tersebut.”
Pengetahuan tentang nomor seri perangkat selanjutnya dapat digunakan untuk mengakses semua antrean pesan MQTT dan mengeluarkan perintah berbahaya yang kemudian akan dieksekusi di semua perangkat yang terhubung ke cloud (CVE-2024-52324).
Bukan itu saja. Penyerang yang secara fisik berdekatan dengan jaringan Wi-Fi yang menggunakan titik akses Ruijie juga dapat mengekstrak nomor seri perangkat dengan mencegat suar Wi-Fi mentah, dan kemudian memanfaatkan kerentanan lain dalam komunikasi MQTT untuk mencapai eksekusi kode jarak jauh. Serangan Open Sesame telah diberi pengidentifikasi CVE CVE-2024-47146 (skor CVSS: 7.5).
Setelah pengungkapan yang bertanggung jawab, semua kekurangan yang teridentifikasi telah diperbaiki oleh perusahaan Tiongkok di cloud dan tidak diperlukan tindakan pengguna. Sekitar 50.000 perangkat yang terhubung ke cloud diperkirakan berpotensi terkena dampak bug ini.
“Ini adalah contoh lain dari kelemahan perangkat yang disebut internet-of-things seperti titik akses nirkabel, router, dan perangkat terhubung lainnya yang memiliki penghalang masuk yang cukup rendah ke perangkat tersebut, namun memungkinkan serangan jaringan yang jauh lebih dalam,” kata para peneliti.
Pengungkapan ini terjadi ketika formulir keamanan PCAutomotive menandai 12 kerentanan di unit infotainment MIB3 yang digunakan di mobil Skoda tertentu yang dapat dirangkai oleh pelaku jahat untuk mencapai eksekusi kode, melacak lokasi mobil secara real-time, merekam percakapan melalui mikrofon di dalam mobil, mengambil tangkapan layar tampilan infotainmen, dan bahkan mengekstrak informasi kontak.
Kelemahannya (dari CVE-2023-28902 hingga CVE-2023-29113) memungkinkan penyerang untuk “mendapatkan eksekusi kode pada unit infotainment MIB3 melalui Bluetooth, meningkatkan hak istimewa untuk melakukan root, melewati boot aman untuk mendapatkan eksekusi kode yang persisten, dan mengontrol unit infotainment melalui Saluran DNS setiap kali mobil dinyalakan,” kata peneliti PCAutomotive.
Penemuan ini menambah sembilan kelemahan lainnya (dari CVE-2023-28895 hingga CVE-2023-28901) yang diidentifikasi di unit infotainment MIB3 pada akhir tahun 2022 yang dapat memungkinkan penyerang memicu penolakan layanan, melewati otentikasi UDS, dan mendapatkan kendaraan. data — yaitu jarak tempuh, durasi perjalanan terkini, serta rata-rata dan maksimum=kecepatan maksimum perjalanan — dengan hanya mengetahui nomor VIN kendaraan.
