میلیون‌ها ماژول اینترنت اشیای بی‌سیم Thales در برابر حمله سایبری آسیب‌پذیر هستند.

به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، تیم X-Force Red شرکت آی‌بی‌ام یک آسیب‌پذیری را در میلیون‌ها ماژول اینترنت اشیای بی‌سیم Thales، شرکت چندملیتی فرانسوی، فاش کرد که می‌تواند دستگاه‌هایی مانند پمپ‌های انسولین و کنتورهای هوشمند را در معرض خطر قرار دهد.

این آسیب‌پذیری، به نام CVE-۲۰۲۰-۱۵۸۵۸، سال گذشته در ماژول‌های Cinterion EHS8 M2M تالس و همچنین در محصولات مرتبط از جمله ماژول‌های BGS۵ ،EHS۵/۶/۸ ،PDS۵/۶/۸ ،ELS۶۱ ،ELS۸۱ و PLS۶۲ کشف شد. این ماژول‌ها را می‌توان در دستگاه‌های اینترنت اشیا مورد استفاده در صنایع مختلف ازجمله بهداشت، ارتباطات از راه دور، انرژی و خودرو کشف کرد. شرکت آی‌بی‌ام از اعلام افشای خود امتناع کرد تا زمانی که تالس یک دستگاه پچ و تعمیر شده را همانند دستگاه‌های دیگر تولید کردند.

آدام لوری (Adam Laurie)، هکر اصلی سخت‌افزاری گروه X-Force Red و گِرزگورز وای‌پیچ (Grzegorz Wypych)، مشاور ارشد امنیتی در متنی نوشتند: «هکرها به کمک این آسیب‌پذیری می‌توانند میلیون‌ها دستگاه را به خطر بیندازند و به شبکه‌ها یا وی‌پی‌ان‌های حامی این دستگاه‌ها با چرخیدن در شبکه پشتیبان ارائه‌دهنده دسترسی پیدا کنند. مالکیت معنوی، اطلاعات کاربری، رمزهای عبور و کلیدهای رمزگذاری می‌توانند به‌راحتی در دسترس یک مهاجم قرار گیرند.»

گروه تالس در بیانیه‌ای گفت که امنیت محصولات خود را بسیار جدی می‌گیرد، بنابراین پس از برقراری ارتباط و بحث در مورد این موضوع با مشتریان تحت تأثیر، تعمیرات نرم‌افزاری را در سه‌ماهه اول سال جاری ارائه داده است.

تیم آی‌بی‌ام به این نتیجه رسید که این آسیب‌پذیری منجر به خواندن و نوشتن کامل ماژول‌ها و حذف دسترسی به مواردی می‌شود که باید محدود باشد. این امر باعث رخ دادن حملاتی مانند هک شدن پمپ‌های انسولین برای مصرف بیش از حد بیمار یا مسدود شدن کنتورهای هوشمند شود. همچنین می‌توان دستگاه‌های آسیب دیده را شبیه‌سازی یا عملکرد آنها را اصلاح کرد.

آی‌بی‌ام توضیح داد که با استفاده از اطلاعات دزدیده شده از ماژول‌ها، عوامل مخرب می‌توانند به طور بالقوه دستگاهی را كنترل یا برای انجام حملات گسترده، حتی در بعضی موارد از راه دور از طریق 3G به سیستم كنترل مرکزی دسترسی پیدا كنند.

به گفته تالس پچ می‌تواند به صورت OTA یا از طریق یواس‌بی (USB) نصب شود، اما آی‌بی‌ام اعتقاد دارد که این کار آسانی نیست: فرایند پچ برای این آسیب‌پذیری، کاملاً به سازنده دستگاه و قابلیت‌های او بستگی دارد؛ به عنوان مثال، احتمال دسترسی دستگاه به اینترنت، کار را پیچیده‌تر می‌کند. یک نکته دیگر این است که هرچه دستگاه تنظیم بیشتری داشته باشد (به عنوان مثال : تجهیزات پزشکی، کنترل‌های صنعتی)، استفاده از پچ دشوارتر است، زیرا انجام این کار شاید نیاز به تجدید اعتبار داشته باشد و این فرایند اغلب زمان‌بر است. تالس وقت قابل توجهی را برای کار با مشتریان صرف کرد تا اطمینان حاصل کند که آنها از پچ‌ها مطلع شده‌اند و اقدامات لازم را برای امنیت کاربران خود انجام داد. ما از تالس به‌خاطر برخورد با این نقص تقدیر می‌کنیم.