Sistemas CCTV de Honeywell Expuestos a Grave Vulnerabilidad de Bypass de Autenticación
CISA alerta sobre una falla crítica (CVE-2023-43505) en sistemas CCTV de Honeywell que permite eludir la autenticación. Actualizaciones urgentes recomendadas para evitar accesos no autorizados.
Grave Falla de Bypass de Autenticación Descubierta en Sistemas CCTV de Honeywell
La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha emitido una alerta sobre una vulnerabilidad crítica en múltiples productos de circuito cerrado de televisión (CCTV) de Honeywell. La falla, identificada como CVE-2023-43505, permite a actores maliciosos eludir los mecanismos de autenticación, lo que podría otorgar acceso no autorizado a transmisiones de video o facilitar el secuestro de cuentas. El aviso fue publicado el 12 de octubre de 2023, tras una divulgación coordinada por investigadores de seguridad.
Detalles Técnicos de CVE-2023-43505
La vulnerabilidad afecta a varios modelos de CCTV de Honeywell, incluyendo:
- Honeywell MAXPRO VMS (Sistema de Gestión de Video)
- Honeywell MAXPRO NVR (Grabador de Video en Red)
- Cámaras Honeywell Serie HDZ
CVE-2023-43505 está clasificada como una falla de bypass de autenticación con una puntuación CVSS de 9.8 (Crítica). La explotación requiere acceso a la red del dispositivo objetivo, permitiendo a los atacantes:
- Obtener acceso no autorizado a transmisiones de video en vivo o grabadas
- Secuestrar cuentas de usuario con privilegios elevados
- Potencialmente manipular configuraciones de cámaras o desactivar la monitorización de seguridad
Honeywell ha confirmado que la vulnerabilidad se origina por una validación incorrecta de entradas en la interfaz de gestión basada en web, lo que permite a los atacantes crear solicitudes maliciosas que eluden las comprobaciones de autenticación.
Impacto y Riesgos de Explotación
La falla representa riesgos significativos para organizaciones que dependen de los sistemas CCTV de Honeywell para la seguridad física, especialmente en sectores de infraestructura crítica, tales como:
- Energía y servicios públicos
- Transporte
- Manufactura
- Instalaciones gubernamentales
Una explotación exitosa podría derivar en:
- Interrupciones en la vigilancia (ej.: desactivar cámaras durante una intrusión)
- Monitoreo no autorizado de áreas sensibles
- Movimiento lateral hacia redes OT/IT conectadas
Hasta la fecha de publicación del aviso, no hay informes de explotación activa en la naturaleza, pero los expertos en seguridad advierten que podrían surgir pronto exploits de prueba de concepto (PoC) dada la gravedad de la falla.
Mitigación y Recomendaciones
Honeywell ha lanzado parches de seguridad para abordar CVE-2023-43505. Se insta a las organizaciones a:
- Aplicar actualizaciones de inmediato en los sistemas afectados:
- MAXPRO VMS: Actualizar a Versión 5.7.0 o posterior
- MAXPRO NVR: Actualizar a Versión 5.7.0 o posterior
- Cámaras Serie HDZ: Aplicar firmware Versión 4.10.0 o posterior
- Aislar las redes de CCTV de los entornos corporativos de TI para limitar la exposición.
- Monitorear actividades sospechosas, incluyendo intentos de inicio de sesión no autorizados o cambios en la configuración.
- Restringir el acceso a las interfaces de gestión de CCTV mediante firewalls o VPNs.
CISA ha añadido CVE-2023-43505 a su Catálogo de Vulnerabilidades Explotadas Conocidas, destacando la urgencia de la remediación. Las agencias federales están obligadas a parchear los sistemas afectados antes del 2 de noviembre de 2023, según la Directiva Operativa Vinculante (BOD) 22-01.
Para más detalles, consulte el aviso oficial de seguridad de Honeywell o la alerta de CISA (ICSA-23-285-01).