Varios fallos de seguridad encontrados en las cerraduras inteligentes de Nuki

Los investigadores han descubierto numerosos fallos de seguridad en varias cerraduras Nuki Smart. La explotación de vulnerabilidades podría afectar la confidencialidad, integridad y disponibilidad de las cerraduras inteligentes.

Defectos de las cerraduras inteligentes de Nuki

Según un aviso del grupo NCC, sus investigadores han descubierto once fallas de seguridad diferentes en los productos Nuki Smart Lock y Bridge.

Nuki Smart Locks ofrece mecanismos de seguridad sin llave que reconocen el dispositivo móvil del usuario para desbloquearlo. La cerradura se abre al detectar que se acerca un dispositivo móvil conocido, lo que elimina la necesidad de controles manuales. Además, los bloqueos también permiten a los usuarios monitorear el estado del bloqueo a través de sus teléfonos inteligentes, administrar los permisos de acceso según sea necesario y más.

Estas características explícitas no solo son útiles, sino que pueden ser peligrosas si se explotan de manera negativa. Esto es lo que sugiere el grupo NCC en su último descubrimiento.

Lista de vulnerabilidades:

Específicamente, los investigadores han encontrado los siguientes once errores que afectan la confidencialidad, la integridad y la disponibilidad de los bloqueos.

• CVE-2022-32509 (CVSS 8.5): La falta de validación de SSL/TLS para el tráfico de red podría provocar ataques MiTM.
• CVE-2022-32504 (CVSS 8.8): La vulnerabilidad de desbordamiento de pila en el código que analiza los objetos JSON recibidos del SSE WebSocket podría permitir ataques de ejecución de código arbitrario.
• CVE-2022-32502 (CVSS 8.0): un desbordamiento del búfer de pila que afecte la lógica de análisis de parámetros de la API HTTP podría permitir que un adversario ejecute código arbitrario.
• CVE-2022-32507 (CVSS 8.0): Los controles de acceso insuficientes en la API Nuki Bluetooth Low Energy (BLE) permitieron a los usuarios sin privilegios enviar comandos con privilegios elevados al llavero Smart Lock.
• CVE-2022-32503 (CVSS 7.6): Las interfaces de hardware JTAG expuestas en Nuki Fob y Nuki Keypad permitieron a un atacante administrar la ejecución del código en el dispositivo utilizando el análisis de límites JTAG. La explotación de esta vulnerabilidad también podría permitir que el adversario depure el firmware y modifique la memoria flash interna y externa.
• CVE-2022-32510 (CVSS 7.1): Una API HTTP en Nuki Bridge proporcionó la interfaz de administración a través de un canal no cifrado, exponiendo así la comunicación entre el cliente y la API. Un atacante con acceso a la red local podría interceptar los datos.
• CVE-2022-32506 (CVSS 6.4): Las interfaces de hardware SWD expuestas en Nuki Bridge y Nuki Smart Lock podrían permitir que un atacante con acceso físico al dispositivo depure el firmware, controle la ejecución del código y lea o modifique el contenido de la memoria flash.
• CVE-2022-32508 (CVSS 6.5): Un atacante no autenticado podría usar paquetes HTTP malintencionados para inducir una condición de denegación de servicio en el dispositivo objetivo de Nuki Bridge.
• CVE-2022-32505 (CVSS 6.5): Un atacante no autenticado podría usar paquetes BLE creados con fines maliciosos para inducir un estado DoS en los dispositivos Nuki Smart Lock de destino.

Otros defectos de bajo riesgo en los productos Nuki

• Implementación de clave de invitación insegura (CVSS 1.9): El token de invitación para las aplicaciones Nuki Smart Lock se utilizó para cifrar y descifrar las claves de invitación en los servidores. Por lo tanto, un atacante que acceda al servidor también podría acceder a datos confidenciales y hacerse pasar por los usuarios.
• Anular el nombre del abridor de puerta sin autenticación (CVSS 2.1): una implementación insegura de las características de Opener BLE podría permitir que un atacante no autenticado cambie el nombre del dispositivo BLE.

Parches implementados

Después de descubrir los errores, los investigadores notificaron a los proveedores sobre el problema, luego de lo cual Nuki implementó correcciones. Los investigadores han confirmado que los proveedores han implementado las correcciones para Nuki Smart Lock, Nuki Bridge, la aplicación Nuki Smart Lock y otros productos afectados con las últimas actualizaciones. Ahora todos los usuarios deben actualizar sus respectivos dispositivos inteligentes Nuki con las últimas actualizaciones para recibir los parches.

Fuente