Vulnérabilité détectée dans le serveur Web du lave-vaisselle Miele

Plusieurs lave-vaisselle-désinfecteurs Miele Professional PG 8528. Photo: Miele

La liste de diffusion Seclists contient des informations de vulnérabilité inhabituelle CVE-2017-7240 . Il s'agit d'un type de traversée d'annuaire dans un serveur Web. Cela semblerait si étrange? De telles vulnérabilités sont très souvent trouvées. Mais ici on parle d'un serveur web ... lave-vaisselle! Dans ce cas, le trou a été trouvé dans le modèle de lave-vaisselle-désinfecteur industriel Miele Professional PG 8528 avec Ethernet intégré, serveur Web et accès Internet. Ces désinfectants sont utilisés dans les hôpitaux, les laboratoires scientifiques, etc.

Une connexion Internet est nécessaire pour le lave-vaisselle afin qu'il puisse être contrôlé à distance. La gestion se fait via un serveur Web intégré appelé PST10 WebServer.

Comme indiqué dans la description de la vulnérabilité, le serveur Web intégré écoute sur le port 80. En fait, ce port est connecté et attaqué. Un attaquant non authentifié a la possibilité de se connecter au lave-vaisselle et d'extraire des mots de passe du serveur web, ce qui peut être utile lors d'attaques ultérieures.

La connexion au lave-vaisselle via telnet est la suivante:

~$ telnet 192.168.0.1 80 Trying 192.168.0.1... Connected to 192.168.0.1. Escape character ist '^]'. GET /../../../../../../../../../../../../etc/shadow HTTP/1.1 

Le lave-vaisselle renvoie une réponse:

 HTTP/1.1 200 OK Date: Wed, 16 Nov 2016 11:58:50 GMT Server: PST10 WebServer Content-Type: application/octet-stream Last-Modified: Fri, 22 Feb 2013 10:04:40 GMT Content-disposition: attachment; filename="./etc/shadow" Accept-Ranges: bytes Content-Length: 52 root:$1$$Md0i[...snip...]Z001:10933:0:99999:7::: 

Comme le montre la réponse du lave-vaisselle, il renvoie le fichier / etc / shadow. Il s'agit d'un fichier avec des mots de passe cachés . Le mot de passe root y est également enregistré.

Les mots de passe cachés sont conçus pour augmenter la sécurité sur les systèmes Unix. Le fait est que les mots de passe chiffrés sont transférés du fichier / etc / passwd standard vers / etc / shadow, qui n'est accessible qu'à root. Selon le format de fichier de mot de passe, chaque ligne contient un certain nombre de paramètres. Il s'agit du nom d'utilisateur (dans ce cas, root), puis du mot de passe crypté ($ 1 $$ Md0i [... snip ...] Z001), puis de l'heure de la dernière modification du mot de passe (10933), du nombre minimum de jours avant la modification du mot de passe (0), le maximum le nombre de jours avant de changer le mot de passe (99999), le nombre de jours avant le premier avertissement de changement de mot de passe (7).

Bien que le mot de passe soit crypté, l'attaquant a la possibilité de mener bruteforce sur le dictionnaire avec quelques chances de succès.

Il est clair qu'un attaquant ordinaire n'a pas besoin d'accéder au lave-vaisselle; ce n'est que la première étape sur la voie d'une meilleure maîtrise du réseau informatique de la victime, y compris d'autres appareils Internet des objets. Le mot de passe du lave-vaisselle peut coïncider avec les mots de passe d'autres services, de sorte qu'une grosse arnaque peut commencer à se déployer à partir de cet appareil électroménager. De plus, un attaquant pourrait écrire son code à exécuter sur un serveur web.

Une vulnérabilité a été découverte par le spécialiste allemand de la sécurité Jens Regel de la société de conseil Schneider & Wulf EDV-Beratung GmbH & Co. KG. Il a contacté un représentant Miele le 21 novembre 2016 et a ensuite envoyé toutes les informations sur le bug. Ensuite, il a essayé à deux reprises de contacter pour obtenir une sorte de réponse, mais il n'a pas reçu de réponse. Après plus de 4 mois, Jens Regel a publié les informations sur la liste de diffusion Seclists, c'est-à-dire dans le domaine public.

Lave-vaisselle Miele Professional PG 8528 ne sont pas destinés à être installés à la maison, dans des cafés, des restaurants ou des bars. Tout d'abord, il s'agit d'équipements pour les hôpitaux, où vous devez non seulement laver, mais aussi désinfecter un grand nombre de tubes à essai, de plaques et d'autres équipements. Les vulnérabilités se voient attribuer un niveau de risque moyen. En fait, la perte d'un mot de passe de lave-vaisselle ne menace pas quelque chose de extrêmement dangereux. Si la machine était installée dans un restaurant ou un café, un restaurant voisin aurait pu délibérément lancer le lave-vaisselle toute la nuit pour infliger au concurrent les plus gros dégâts économiques possibles en faisant exploser les factures d'électricité et d'eau. Et quel genre d'attaque peut-on effectuer sur un désinfecteur dans un hôpital? Briser la procédure de désinfection dans l'espoir d'une épidémie virale?

À mesure que le nombre d'appareils IoT augmente, ces vulnérabilités seront de plus en plus détectées. Lorsque les fabricants d'appareils électroménagers y mettent un serveur Web, ils pensent rarement aux problèmes de sécurité. Pour eux, l'essentiel est la facilité d'utilisation et la commercialisation. Il y a donc des réfrigérateurs avec accès Internet et des grille-pain avec WiFi.

Sur l'Internet des objets, le nombre d'appareils peut théoriquement être d'un ordre de grandeur plus grand que sur l'ancien ordinateur Internet. C'est une véritable étendue pour créer des réseaux de zombies géants. Comme nous nous en souvenons, la plus grande attaque DDoS de l'année dernière a été organisée précisément via les appareils de l'Internet des objets - des décodeurs numériques et des caméras de surveillance vidéo ont formé le botnet Mirai .

Un botnet a été formé à l'aide d'un ver. Il a infecté les appareils vulnérables avec des mots de passe par défaut. Désormais, les lave-vaisselle ont rejoint la liste des appareils vulnérables. Vont-ils également faire partie des futurs botnets?