IoT-beveiligingsdrama voltrekt zich als voorspeld

In veel routers, smartphones, smart tv's en andere apparaten die tot het Internet of Things (IoT) worden gerekend, zitten verouderde versies van codebibliotheken verwerkt waardoor deze apparatuur kwetsbaar is voor exploits. IT-beveiliger Trend Micro schat het aantal kwetsbare apparaten op zo'n 6,1 miljoen. In totaal werden 547 verschillende apps ontdekt, die allemaal gebruik maken van de verouderde bibliotheek Portable SDK for UPnP-apparatuur, ook wel libupnp genaamd.

Redactie AG ConnectMeer van deze auteur

De problemen met die versie van de bibliotheek zijn al drie jaar geleden opgelost, maar de code wordt nog steeds aangetroffen in apps voor de smart devices. De code wordt vooral ingezet bij functies als DLNA en NAT traversal. Die zijn betrokken bij het eenvoudig afspelen van media met de inzet van verschillende apparatuur.

Crashes, beschadiging en afluisteren is mogelijk

Door de kwetsbaarheid bestaat het gevaar voor een buffer overflow, die leidt tot een crash van de app, maar ook aanvallers in staat stelt code ten uitvoer te brengen.

Aanvankelijk stond ook Netflix op de lijst met kwetsbare apps, maar Trend Micro heeft na overleg met Netflix verklaard dat het online-videobedrijf een eigen versie van de libupnp gebruikt waar de kwetsbaarheid niet in voorkomt.

Al langer wordt voorspeld dat voor producenten van IoT-apparatuur de beveiligingsaspecten geen prominente plaats krijgen bij de ontwikkeling. De druk op een snelle time to market en de prijsdruk worden als belangrijke oorzaken genoemd. De alertheid op het beheer van de toepassingen zodat deze ook na uitlevering veilig blijven zou veel te wensen overlaten.