Una evaluación de seguridad reciente realizada por investigadores ha descubierto nueve vulnerabilidades graves en cuatro dispositivos IP-KVM de bajo costo populares. Estos fallos permiten a los atacantes obtener control total a nivel de BIOS sobre los sistemas conectados, eludiendo efectivamente todos los controles de seguridad del sistema operativo y los agentes de Detección y Respuesta de Endpoints (EDR). 

Una evaluación de seguridad reciente realizada por investigadores ha descubierto nueve vulnerabilidades graves en cuatro dispositivos IP-KVM populares y de bajo costo.

Estas fallas permiten a los atacantes obtener control total a nivel de BIOS sobre los sistemas conectados, eludiendo por completo los controles de seguridad del sistema operativo y los agentes de Detección y Respuesta de Endpoints (EDR).

Comprometer un dispositivo de Teclado, Video y Ratón (KVM) le da a un atacante el equivalente a acceso físico a cada máquina conectada.

Esto permite a los actores maliciosos inyectar pulsaciones de teclas, arrancar desde medios extraíbles para eludir el cifrado de disco y modificar la configuración de la BIOS para desactivar el Secure Boot.

Dado que el KVM opera por debajo del sistema operativo del host, los atacantes permanecen completamente invisibles para las herramientas de seguridad basadas en el host, creando un vector de amenaza altamente persistente.

Esta amenaza está siendo explotada activamente en la naturaleza. El FBI ha investigado recientemente amenazas relacionadas con KVMs, y Microsoft ha documentado que actores de amenazas patrocinados por el estado de Corea del Norte utilizan IP-KVMs para establecer control físico remoto sobre portátiles corporativos.

Además, escaneos recientes han identificado más de 1.600 de estos dispositivos de bajo costo expuestos directamente a Internet, creando una amplia superficie de ataque para los ciberdelincuentes.

Las vulnerabilidades descubiertas afectan a dispositivos de GL-iNet, Angeet/Yeeso, Sipeed y JetKVM, que suelen costar entre 30 y 100 dólares.

Las fallas surgen de fallos básicos en la higiene de seguridad, incluyendo la falta de validación de firmas de firmware, interfaces de depuración expuestas y controles de acceso rotos.

El hallazgo más grave afecta al Angeet ES3 KVM, que contiene una vulnerabilidad de subida de archivos sin autenticación que, al encadenarse con una falla de inyección de comandos, permite la ejecución remota de código con privilegios de root sin autenticación previa.

Igualmente preocupante es el GL-iNet Comet RM-1, que proporciona acceso root sin autenticación a través de su interfaz UART y depende únicamente de un hash MD5 fácilmente falsificable para la verificación del firmware.

Estrategias de mitigación

Para proteger las redes empresariales de estas graves amenazas de gestión fuera de banda, los equipos de seguridad deben tratar los dispositivos IP-KVM como infraestructura crítica.

Según la investigación de Eclypsium, los administradores deben aislar inmediatamente todos los dispositivos KVM en VLANs de gestión dedicadas y asegurarse de que nunca estén expuestos directamente a Internet.

El acceso debe estar estrictamente controlado detrás de autenticación robusta y Redes Privadas Virtuales (VPN).

Además, las organizaciones deben inventariar sus entornos en busca de KVMs no documentados, monitorear el tráfico de red saliente en busca de anomalías y aplicar los últimos parches de firmware cuando estén disponibles por parte de los fabricantes.