Se ha descubierto una vulnerabilidad que afecta a numerosos tipos de dispositivos inteligentes, incluyendo cámaras de seguridad e incluso monitores de bebés.
Su explotación permite a un atacante acceder a transmisiones de vídeo y audio en directo a través de Internet e incluso tomar el control total de los aparatos de forma remota.
Y lo que es peor, no se limita a un solo fabricante; sino que forma parte de un kit de desarrollo de software (SDK) que afecta más de 83 millones de dispositivos y más de mil millones de conexiones a Internet cada mes.
El SDK en cuestión es ThroughTek Kalay, que ofrece un sistema para conectar dispositivos inteligentes con sus correspondientes aplicaciones móviles. La plataforma Kalay intermedia la conexión entre un dispositivo y su aplicación, gestiona la autenticación y envía comandos y datos de ida y vuelta.
Un atacante que conozca el UID de un dispositivo — que podría obtenerse mediante un ataque de ingeniería social o buscando vulnerabilidades en la web de un determinado fabricante — y que tenga algún conocimiento del protocolo Kalay puede volver a registrar el UID y, básicamente, secuestrar la conexión la próxima vez que alguien intente acceder legítimamente al dispositivo objetivo. El usuario experimentará unos segundos de retardo, pero luego todo funcionará con normalidad para él.
Aprovechando el fallo, un atacante podría ver las transmisiones de vídeo en tiempo real, lo que le permitiría ver imágenes de seguridad sensibles o asomarse al interior de la cuna de un bebé. Podrían lanzar un ataque de denegación de …