Vulnerabilidades Críticas no YoSmart YoLink Smart Hub Expõem Casas Inteligentes a Ataques Remotos

Consulte o aviso completo do CSAF aqui

Falhas Críticas no YoSmart YoLink Smart Hub Permitem Exploração Remota

A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) divulgou múltiplas vulnerabilidades críticas no YoSmart YoLink Smart Hub, um dispositivo amplamente utilizado em automação residencial inteligente. A exploração bem-sucedida dessas falhas pode permitir que agentes de ameaças controlem remotamente dispositivos inteligentes conectados, interceptem dados sensíveis e sequestrem sessões de usuários — representando riscos graves para ecossistemas IoT residenciais e de pequenas empresas.

Detalhes Técnicos

As vulnerabilidades afetam as versões do firmware do YoSmart YoLink Smart Hub anteriores à 4.1.2.6 e são rastreadas sob os seguintes IDs CVE:

• CVE-2026-23456 – Autenticação Impropría (CVSS 9.8): Permite que atacantes não autenticados burlem mecanismos de autenticação por meio de requisições de rede manipuladas, concedendo acesso não autorizado ao dispositivo.
• CVE-2026-23457 – Referência Direta a Objetos Inseguros (CVSS 8.5): Possibilita que atacantes manipulem IDs de dispositivos ou tokens de sessão, levando ao sequestro de sessões ou controle não autorizado de dispositivos inteligentes de outros usuários.

Detalhes técnicos adicionais, incluindo provas de conceito (PoC), estão disponíveis no aviso do CSAF.

Análise de Impacto

Se exploradas, essas vulnerabilidades podem resultar em:

• Controle remoto não autorizado de fechaduras inteligentes, câmeras, termostatos e outros dispositivos IoT conectados ao YoLink Hub.
• Interceptação de dados sensíveis, incluindo credenciais de dispositivos, tráfego de rede e registros de atividade do usuário.
• Sequestro de sessões, permitindo que atacantes se passem por usuários legítimos e executem comandos em seu nome.
• Movimentação lateral dentro de redes de casas inteligentes, comprometendo potencialmente dispositivos adicionais.

As altas pontuações CVSS (9.8 e 8.5) destacam a urgência de aplicação de patches, especialmente considerando o papel do hub como ponto central de controle para ecossistemas de casas inteligentes.

Recomendações para Equipes de Segurança

A CISA e a YoSmart recomendam que os usuários tomem as seguintes medidas imediatamente:

1. Aplique a atualização mais recente do firmware (v4.1.2.6 ou superior) por meio do aplicativo móvel YoLink ou do site oficial.
2. Isole o YoLink Hub de redes não confiáveis até que os patches sejam aplicados.
3. Monitore o tráfego de rede em busca de atividades incomuns, como chamadas de API não autorizadas ou reconfigurações de dispositivos.
4. Reforce a autenticação forte para todos os dispositivos IoT conectados, incluindo autenticação multifator (MFA), quando possível.
5. Consulte o aviso da CISA para estratégias adicionais de mitigação e indicadores de comprometimento (IoCs).

Para orientações adicionais, consulte o aviso oficial da CISA (ICSA-26-013-03).

Esta é uma história em desenvolvimento. Atualizações serão fornecidas à medida que mais informações estiverem disponíveis.