Pesquisadores da empresa de segurança Armis, alertaram nessa segunda feira (29/07) que cerca de 200 milhões de dispositivos conectados à Internet, incluindo alguns que podem estar controlando elevadores, equipamentos médicos e outros sistemas de missão crítica, estão vulneráveis a ataques que dão aos invasores controle total.

Ao todo, eles identificaram 11 vulnerabilidades em várias versões do VxWorks, um sistema operacional para sistemas embarcados que é executado em mais de 2 bilhões de dispositivos em todo o mundo. Seis das falhas estão no código e as outras cinco, menos graves, permitem vazamento de informações e ataques de negação de serviço. Nenhuma das vulnerabilidades afeta a versão mais recente do VxWorks – que foi lançada na semana passada – ou qualquer uma das versões certificadas do sistema operacional, incluindo o VxWorks 653 ou o VxWorks Cert Edition.

Para os 200 milhões de dispositivos que, segundo estimativa, estão executando uma versão que é suscetível a um ataque sério, os riscos podem ser altos. Como muitas das vulnerabilidades residem no sistema de rede, conhecido como IPnet, elas geralmente podem ser exploradas por pouco mais que pacotes maliciosos enviados pela Internet. Dependendo da vulnerabilidade, os ataques também podem penetrar firewalls e outros tipos de defesas de rede.

O desafio mais imediato para as organizações que usam equipamentos afetados ou potencialmente afetados será avaliar o risco que enfrentam. Os pesquisadores da Armis estão apresentando o Urgent 11 (nome dado ao conjunto de vulnerabilidades) como uma ameaça séria e iminente. Eles também estão alertando que a dificuldade de corrigir as falhas significa que esse risco pode continuar conosco no futuro próximo.

No entanto, a ameaça pode ser menor do que o estimado, já que é possível diminuir o risco através de outros meios, como listas de controle de acesso, que restringem quais dispositivos podem se conectar a um dispositivo vulnerável. Uma solução melhor ainda é remover completamente um dispositivo vulnerável da rede externa.

Via: Arstechnica