Seguridad Informática. Vulnerabilidades en el fabricante de Drones DJI

huella digital - Vulnerabilidades en el fabricante de Drones DJI

Los errores de seguridad podrían exponer detalles sobre los propietarios de drones

Los investigadores de una firma de ciberseguridad y forense digital identificaron una vulnerabilidad en el sitio web y en las aplicaciones del popular fabricante de drones DJI. La vulnerabilidad fue revelada el jueves pasado, después de que la empresa lograra parchear el error de seguridad. Sin embargo, el tiempo que le tomó a la empresa abordar completamente la falla fue de aproximadamente seis meses.

Acorde a reportes de especialistas en forense digital del Instituto Internacional de Seguridad Cibernética, de ser explotada la vulnerabilidad, un atacante podría haber obtenido acceso libre al almacenamiento de datos en la nube de la cuenta de cualquier propietario de drones, incluyendo videos, mapas, registros de dispositivos e incluso la transmisión en vivo a través del sistema de gestión de flotas DJI FlightHub. Todo esto podría haber ocurrido sin alertar al usuario legítimo. Sin embargo, ahora que DJI ha corregido la falla, se han revelado detalles de la peligrosa vulnerabilidad en la aplicación web Drone de DJI.

Además, los atacantes podrían haber sincronizado fácilmente los datos confidenciales del usuario, incluidos los registros de vuelo y ubicación. Expertos en forense digital y ciberseguridad identificaron la falla en marzo de 2018 y notificaron a DJI al respecto sin revelar públicamente el problema, según la norma seguida por todas las firmas de seguridad. El fabricante chino corrigió esta falla en septiembre.

Un atacante también podría haber lanzado un ataque de secuestro de cuenta mediante la explotación de las tres vulnerabilidades identificadas en la infraestructura de DJI. Esto incluye un error de cookie segura, un problema de identificación de SSL en la aplicación móvil de la empresa, y una falla de secuencias de comandos entre sitios en el foro en línea de la compañía.

El error de cookie podría permitir a un hacker robar las cookies de inicio de sesión insertando un JavaScript malicioso en el foro de DJI a través de una vulnerabilidad XSS. Después de capturar las cookies de inicio de sesión, que podrían haber incluido tokens de autenticación, se pueden usar nuevamente para obtener acceso y control total de la cuenta de un usuario. Además, un atacante podría acceder fácilmente a las aplicaciones móviles DJI GO/4/pilot y a las operaciones de drones centralizados de DJI Flighthub.

Los atacantes podrían haber comprometido las aplicaciones móviles solo después de interceptar el tráfico de aplicaciones. Esto habría sido necesario para omitir la implementación de la fijación de SSL a través de un ataque Man-in-the-Middle lanzado contra el servidor de DJI.

Investigaciones posteriores revelaron que al analizar los archivos de registros de vuelo del dron, un atacante podría haber obtenido más información sobre el ángulo y la ubicación de la fotografía tomada durante el vuelo de uno de estos dispositivos, incluida la ubicación de la casa del usuario, la última ubicación conocida y más detalles.

La vulnerabilidad finalmente fue clasificada por DJI como una falla de alto riesgo, pero de baja probabilidad de ser explotada, ya que para explotarla con éxito, se requería que un usuario inicie sesión en la cuenta de DJI después de hacer clic en un enlace malicioso especialmente diseñado publicado en el foro de DJI. La empresa afirma que no hay indicios de que la falla haya sido explotada en un escenario real.

Fuente: NOTICIAS DE SEGURIDAD INFORMÁTICA
http://noticiasseguridad.com/vulnerabilidades/vulnerabilidades-en-el-fabricante-de-drones-dji/

En INBIOSYS tenemos todas las Soluciones en Seguridad Informática, basada en la Huella Digital

NUESTROS PRODUCTOS

Somos la primera Empresa en el país en “Soluciones de seguridad utilizando la huella digital”

Puede seguirnos en Twitter. Follow inbiosys on Twitter

Puede seguirnos en Facebook.

Visita nuestra página en Facebook

INBIOSYS Biometria

Queremos mejorar cada día más, necesitamos que usted nos regale dos minutos de su precioso tiempo y nos conteste 5 preguntas de la encuesta que le traemos hoy.

Click Aquí para comenzar la encuesta

Anuncios

0 Responses to “Seguridad Informática. Vulnerabilidades en el fabricante de Drones DJI”



  1. Dejar un comentario

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s




noviembre 2018
L M X J V S D
« Oct   Dic »
 1234
567891011
12131415161718
19202122232425
2627282930  

Escribe tu dirección de correo electrónico para suscribirte a este blog, y recibir notificaciones de nuevos mensajes por correo.

Únete a otros 60 seguidores

paginas

Categorías

Actualizaciones de Twitter

Anuncios

A %d blogueros les gusta esto: