[Actualización 21/09/2022] Múltiples vulnerabilidades en rastreador GPS MV720 de MiCODUS
INCIBE-2022-0840
Modelo de rastreador GPS MV720.
Los investigadores, Pedro Umbelino, Dan Dahlberg y Jacob Olcott de BitSight, han reportado 5 vulnerabilidades, 2 de severidad crítica, 2 altas y 1 media, cuya explotación podría permitir a un atacante tomar el control del dispositivo afectado, dando acceso a la localización, las rutas, los comandos de corte de combustible y la desactivación de varias características (por ejemplo, las alarmas).
A fecha de 18 de julio de 2022, MiCODUS no ha proporcionado actualizaciones o parches para mitigar estas vulnerabilidades.
CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades, que pueden consultarse en la 'sección 4. MITIGATIONS' del aviso.
- Para la plataforma de seguimiento web, MiCODUS emitió una actualización que elimina los vacíos legales.
- Para la aplicación de Android, actualizar a la versión 2.0.32 o posterior en Google Play Store.
- Para la aplicación iOS, actualizar a la versión 2.1.1 o posterior en la tienda de aplicaciones de Apple.
Las vulnerabilidades críticas se describen a continuación:
- El servidor de la API tiene un mecanismo de autenticación que permite a los dispositivos utilizar una contraseña maestra codificada, lo que podría permitir a un atacante enviar comandos SMS directamente al rastreador GPS como si procedieran del número de móvil del propietario del GPS. Se ha asignado el identificador CVE-2022-2107 para esta vulnerabilidad.
- Los comandos GPS basados en SMS podrían ejecutarse sin autenticación. Se ha asignado el identificador CVE-2022-2141 para esta vulnerabilidad.
Para el resto de vulnerabilidades no críticas se han asignado los identificadores: CVE-2022-2199, CVE-2022-34150 y CVE-2022-33944.
