Perangkat IoT (Internet-of-Things) membuat orang-orang berpikir bahwa hidup mereka akan lebih mudah dengan perangkat pintar. Banyak sekali alasan bagus untuk menghubungkan perangkat tertentu ke Internet. Misalnya, kita menginginkan untuk menyalakan AC beberapa menit sebelum kita memasuki rumah kita. Sehingga ketika sampai rumah sudah sejuk. Akan tetapi baru-baru ini ditemukan kerentanan dalam Washer-Disinfector, salah satu perangkat medis berbasis IoT.
Ditemukan keretanan pada mesin medis Washer-Disinfector
Tentu saja tidak. Salah satu contohnya adalah laporan bug yang mengungkapkan kerentanan suatu perangkat IoT, mesin washer-disinfector merupakan perangkat yang tersambung ke Internet oleh produsen berbasis Jerman bernama Miele .
Perangkat Miele profesional PG 852, yang digunakan dalam perusahaan medis untuk membersihkan dan desinfeksi laboratorium dan surgical instruments. Baru-baru ini perangkat washer-disinfector ditemukan terdapat kerentanan Web Server Directory Traversal.
Jens Regel konsultasi Jerman Schneider & Wulf telah menemukan kerentanan (CVE-2017-7240). Yang memungkinkan penyerang untuk remote akses direktori selain yang dibutuhkan oleh web server.
Setelah diakses, penyerang dapat mencuri informasi sensitif yang tersimpan di server dan bahkan memasukkan malware. Dan juga malicious code mereka sendiri dan membuat web server untuk mengeksekusinya.
“Yang tertanam web server ‘PST10 WebServer’ biasanya listening port 80 dan rentan terhadap serangan direktori traversal. [dan] karena penyerang tidak terauthentikasi mungkin dapat mengeksploitasi masalah ini untuk mengakses informasi sensitif. Hal ini bisa digunakan untuk mempermudah serangan berikutnya,” ujar Jens Regel.
Proof-of-Concept Exploit Code Released!
Regel juga merilis Proof-of-Concept (PoC) memanfaatkan kode untuk kerentanan ini. Sehingga sekarang hacker dapat mengeksploitasi kerentanan sebelum vendor merilis patch-nya.
PoC Exploit sangat mudah untuk dijalankan:
GET /../../../../../../../../../../../../etc/shadow HTTP / 1.1 digunakan untuk IP apapun pada LAN.
Masih belum jelas library apa yang digunakan Miele untuk membuat server Web. Menurut Regel, dia dapat melakukan request embedded System’s Shadow File menggunakan ekstensi file apapun pada filesystem.
Kerentanan Miele dirilis pada bulan November 2016, tetapi masih belum ada perbaikan oleh vendor yang bersangkutan.
Oleh karena itu, pilihan terbaik untuk tetap aman adalah dengan memutuskan perangkat dari internet untuk sementara waktu sampai patch dirilis.
