Uma equipe de pesquisadores de segurança cibernética divulgou no final da semana passada a existência de 12 vulnerabilidades de segurança potencialmente graves, coletivamente denominadas SweynTooth, afetando milhões de dispositivos inteligentes sem fio habilitados para Bluetooth em todo o mundo. Além disso, um fato preocupante: alguns deles ainda não receberam atualizações de correção.
Todas as falhas do SweynTooth residem basicamente na maneira como os kits de desenvolvimento de software (SDKs) usados pelo sistema múltiplo em um chip (SoC) implementaram a tecnologia de comunicação sem fio Bluetooth Low Energy (BLE). Eles alimentam pelo menos 480 produtos distintos de vários fornecedores, incluindo a Samsung, a FitBit e Xiaomi.
Vulnerabilidades afetam dispositivos com Bluetooth LE
De acordo com os pesquisadores, hackers próximos a dispositivos vulneráveis podem abusar dessa vulnerabilidade para acionar remotamente deadlocks, travamentos e até ignorar a segurança em produtos BLE, permitindo que eles acessem arbitrariamente a leitura ou gravação das funções do dispositivo que, de outra forma, só poderiam ser acessadas por um usuário autorizado.
Pesquisadores da Universidade de Tecnologia e Design de Cingapura disseram:
Atualmente, as vulnerabilidades do SweynTooth são encontradas nos SDKs BLE vendidos por grandes fornecedores de SoC, como Texas Instruments, NXP, Cypress, Dialog Semiconductors, Microchip, STMicroelectronics e Telink Semiconductor.
O relatório detalhado diz que os produtos afetados incluem eletrônicos de consumo, dispositivos domésticos inteligentes e wearables (vestíveis). Alguns destes dispositivos encontram-se no setor de logística e saúde, e seu mau funcionamento pode levar a situações perigosas.
Os pesquisadores disseram:
Os dispositivos mais críticos que podem ser severamente afetados pelo SweynTooth são os produtos médicos. Os Laboratórios VivaCheck, que fabricam medidores de glicose no sangue, têm muitos produtos listados para usar o DA14580.
Portanto, todos esses produtos estão potencialmente vulneráveis ao ataque. Pior ainda, a Syqe Medical Ltd. e sua plataforma de inalação de remédios programáveis (Syqe Inhaler v01) são afetados juntamente com os mais recentes produtos relacionados ao marca-passo da Medtronic Inc.
De acordo com o relatório, os pesquisadores divulgaram essas falhas no ano passado a todos os fornecedores afetados. Além disso, muitos deles já lançaram patches para seus respectivos SoCs.
Fonte: The Hacker News
