Por Tony Loi | 08 de octubre de 2018
Más y más Smart TV están conectados a Internet como nunca antes, con un estimado de 760 millones de ellos conectados a nivel mundial. A medida que las nuevas amenazas se dirigen cada vez más a los dispositivos IoT, como los Smart TV, que incluyen conectividad permanente y GPU de alto rendimiento que pueden ser secuestrados con fines maliciosos, FortiGuard Labs aprovechó la oportunidad para ver el estado de seguridad actual de estos dispositivos.
Los investigadores de seguridad han estado expresando inquietudes acerca de los problemas de vulnerabilidad encontrados en los televisores inteligentes. Desde hace bastante tiempo, la buena noticia es que la mayoría de los proveedores de televisión están escuchando estas inquietudes y han estado tomando medidas para solucionarlas (especialmente cuando se comparan con dispositivos IoT aleatorios). Si bien la postura de seguridad de este tipo de dispositivos definitivamente está mejorando, aquí en FortiGuard Labs decidimos tomarnos un tiempo para ver algunas marcas populares y, como resultado, trabajamos en estrecha colaboración con los proveedores para solucionar algunos problemas pendientes, como el Ejemplo a continuación.
Hace unas semanas, Sony lanzó un aviso de múltiples vulnerabilidades para sus dispositivos Bravia Smart TV que se había encontrado y reportado directamente al equipo PSIRT de Sony por parte del equipo FortiGuard Labs de Fortinet. Estas vulnerabilidades residen específicamente en una de las aplicaciones propietarias de Sony llamada Photo Sharing Plus. Ya que los atacantes que están conectados a la misma red local pueden explotarlos de forma remota sin autenticación, los clientes deben actualizar sus televisores lo antes posible.
Los siguientes son algunos de los detalles más críticos de las vulnerabilidades que descubrimos:
Desbordamiento de búfer de pila – CVE-2018-16595 (gravedad alta):
esta es una vulnerabilidad de corrupción de memoria que resulta de una verificación de tamaño insuficiente de la entrada del usuario. Con una solicitud HTTP POST suficientemente larga enviada a la URL correspondiente, la aplicación se bloqueará.
Fortinet lanzó anteriormente la firma de IPS Sony.SmartTV.Stack.Buffer.Overflow para esta vulnerabilidad específica para proteger proactivamente a nuestros clientes.
Recorrido del directorio: CVE-2018-16594 (alta severidad):
la aplicación maneja los nombres de los archivos de manera incorrecta cuando recibe un archivo de entrada del usuario mediante la carga de una URL. Un antetacker puede cargar un archivo arbitrario con un nombre de archivo creado (por ejemplo: ../../) que luego puede atravesar todo el sistema de archivos.
Fortinet lanzó previamente la firma IPS Sony.SmartTV.Directory.Traversal para esta vulnerabilidad específica para proteger proactivamente a nuestros clientes.
Inyección de comandos: CVE-2018-16593 (gravedad crítica):
esta aplicación maneja los nombres de los archivos de manera incorrecta cuando el usuario carga un archivo de medios. Un atacante puede abusar de tal manejo incorrecto del nombre de archivo para ejecutar comandos arbitrarios en el sistema, lo que puede resultar en la ejecución remota completa del código con privilegios de raíz.
Fortinet lanzó previamente la firma IPS Sony.SmartTV.Remote.Code.Execution para esta vulnerabilidad específica para proteger proactivamente a nuestros clientes.
FortiGuard Labs, de Fortinet, se coordinó de manera responsable con Sony para revelar todos estos problemas descubiertos, y también esperamos a que se publicara nuestro aviso hasta que Sony haya publicado las correcciones correspondientes.
Por último, nos gustaría agradecer al equipo PSIRT de Sony por su cooperación rápida y responsable para solucionar estas vulnerabilidades.
Línea de tiempo:
- 27 de marzo de 2018 : Notificación enviada al equipo de Sony PSIRT y Sony la confirma el mismo día.
- 03 de abril de 2018 : Sony confirma las vulnerabilidades y comienza a trabajar en los parches.
- 01 de junio de 2018 : Sony comienza a enviar el parche a través de la actualización Over-The-Air (OTA).
- 03 de agosto de 2018 : Sony completa la entrega mundial de OTA.
Nota: la actualización de OTA necesita la aprobación del usuario y una conexión de red - 30 de agosto de 2018 : Sony publica un aviso sobre el parche.
Nota al margen sobre la privacidad:
Una de las observaciones es el hecho de que, si bien la postura de seguridad de los televisores inteligentes está mejorando, todavía existen desafíos de privacidad. Ya no es raro que los acuerdos de usuario se actualicen regularmente e incluso se escuchen casos de datos recopilados sin el conocimiento ni el consentimiento del consumidor. Para abordar este problema, “dos senadores de EE. UU. Han pedido a la Comisión Federal de Comercio (FTC, por sus siglas en inglés) que investigue a los fabricantes de televisores inteligentes en medio de temores y pruebas de que las compañías podrían estar usando dispositivos para recopilar datos y rastrear a los usuarios sin su conocimiento”.
Si planea comprar un nuevo Smart TV, o ya es dueño de uno, le sugerimos que verifique su configuración de privacidad con respecto a la recopilación de datos. Como mínimo, debe conocer los datos personales que comparte su televisor y con quién se comparten.
