Un investigador de seguridad descubrió una vulnerabilidad en el sistema SecureConnect de Eaton, un servicio basado en la nube que permite el control remoto de sistemas de alarma inteligentes. La brecha permitió a cualquier persona registrarse como usuario y asignar su cuenta a un grupo con acceso total a los dispositivos conectados.
Descubrimiento de la vulnerabilidad
Vangelis Stykas, investigador de seguridad, identificó el error en SecureConnect. La vulnerabilidad se clasifica como Referencia Directa a Objetos Inseguros (IDOR), un tipo de fallo de seguridad que permite el acceso no autorizado a datos o cuentas debido a controles débiles o inexistentes.
Según Stykas, la brecha era fácil de explotar usando herramientas como Burp Suite. Al interceptar el número del grupo del nuevo usuario y cambiarlo por el número «1», se podía asignar la cuenta a un grupo raíz con acceso total a todos los sistemas conectados.
Acceso potencial a datos sensibles
Stykas explicó que al añadir un usuario al grupo root, se obtenía acceso a toda la información relacionada con el sistema de alarma. Esto incluía el nombre y correo electrónico del usuario registrado, así como la ubicación de cada dispositivo conectado.
Aunque Stykas no intentó explotar la vulnerabilidad, señaló que un atacante podría haber controlado remota y completamente los sistemas de alarma inteligentes conectados a la nube de Eaton.
Respuesta de Eaton
Eaton confirmó el descubrimiento de la brecha en su lógica de autorización de acceso grupal. La empresa indicó que la vulnerabilidad fue solucionada en mayo, aunque no proporcionó detalles sobre cuántos clientes afectados hay.
Jonathan Hart, portavoz de Eaton, se negó a revelar el número exacto de usuarios que utilizan sus sistemas de alarma inteligentes. Stykas estimó que la cantidad era de decenas de miles.
Posiciones oficiales
Eaton no confirmó si la vulnerabilidad permitía el control remoto de los dispositivos, aunque afirmó que se «verificó que la vulnerabilidad era un evento único». No especificó cómo llegó a esta conclusión ni si posee medios técnicos para determinar si la brecha fue explotada previamente.
El incidente fue reportado en el sitio web de Eaton como una notificación de seguridad. El investigador no proporcionó más detalles sobre los pasos exactos que se tomaron para resolver la vulnerabilidad.