Uma descoberta feita pela empresa israelense JSOF, especializada em hardening de sistemas, indica que existem pelo menos 19 vulnerabilidades novas (zero days) – duas de alta gravidade – em dispositivos de IoT. O mapeamento inicial da empresa mostrou que elas existem em dispositivos que estão em grids de energia, medicina, rede, residências, aviação, varejo, segurança nacional, muitos deles produzidos por empresas da lista Fortune 500 (veja lista no final da matéria). As falhas têm origem numa biblioteca da empresa norte-americana Treck, que ela utilizou no desenvolvimento de software TCP/IP de baixo nível para os mais diversos dispositivos.
O alcance das vulnerabilidades é imenso e estimado pela JSOF, por enquanto, na casa dos milhões de dispositivos. Por causa disso a descoberta foi chamada de Ripple20 (efeito cascata). O problema atinge dispositivos críticos de IoT, em uma ampla variedade grande de setores, envolvendo um grupo muito variado de fornecedores. Segundo a empresa, os fornecedores afetados variam de pequenas empresas a multinacionais da Fortune 500, incluindo HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, Baxter, além de muitos outros fornecedores internacionais suspeitos de serem vulneráveis – nos setores médico, transporte, controle industrial , empresas, energia (petróleo / gás), telecomunicações, varejo e comércio e outras indústrias.
Veja isso
IoT cresce 130% e alcança 83 bilhões de conexões até 2024
Empresas sem preparo contra ameaças de dispositivos IoT
A pesquisa da JSOF mostrou que essa biblioteca de software da Treck se espalhou por toda parte: “Descobrimos que nas últimas duas décadas esse software básico de rede estava se espalhando por todo o mundo, tanto por uso direto quanto indireto. Como vetor de disseminação, a complexa cadeia de suprimentos fornece o canal perfeito, possibilitando que a vulnerabilidade original se infiltre e se camufle quase infinitamente”, diz o comunicado da JSOF.
O problema pode ser ainda maior do que já indicam as descobertas, sugere o comunicado: “Nos anos 90, a Treck colaborou com uma empresa japonesa chamada Elmic Systems. Mais tarde, elas se separaram e seguiram caminhos diferentes. Isso resultou em duas ramificações dos dispositivos de pilha TCP / IP – uma gerenciada pela Treck e outra gerenciada pela Elmic Systems – comercializadas em áreas totalmente separadas, sem contato entre elas”.
Veja abaixo a lista de fabricantes afetados pelas vulnerabilidades
Com agências internacionais
