Múltiples vulnerabilidades en rastreador GPS MV720 de MiCODUS

Fecha de publicación: 20/07/2022

Importancia:
Crítica

Recursos afectados:

Modelo de rastreador GPS MV720.

Descripción:

Los investigadores, Pedro Umbelino, Dan Dahlberg y Jacob Olcott de BitSight, han reportado 5 vulnerabilidades, 2 de severidad crítica, 2 altas y 1 media, cuya explotación podría permitir a un atacante tomar el control del dispositivo afectado, dando acceso a la localización, las rutas, los comandos de corte de combustible y la desactivación de varias características (por ejemplo, las alarmas).

Solución:

A fecha de 18 de julio de 2022, MiCODUS no ha proporcionado actualizaciones o parches para mitigar estas vulnerabilidades.

CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades, que pueden consultarse en la ‘sección 4. MITIGATIONS‘ del aviso.

Detalle:

Las vulnerabilidades críticas se describen a continuación:

• El servidor de la API tiene un mecanismo de autenticación que permite a los dispositivos utilizar una contraseña maestra codificada, lo que podría permitir a un atacante enviar comandos SMS directamente al rastreador GPS como si procedieran del número de móvil del propietario del GPS. Se ha asignado el identificador CVE-2022-2107 para esta vulnerabilidad.
• Los comandos GPS basados en SMS podrían ejecutarse sin autenticación. Se ha asignado el identificador CVE-2022-2141 para esta vulnerabilidad.

Para el resto de vulnerabilidades no críticas se han asignado los identificadores: CVE-2022-2199, CVE-2022-34150 y CVE-2022-33944.

Etiquetas:
0day, Comunicaciones, Infraestructuras críticas, Vulnerabilidad