Il software per cuffie difettoso di Sennheiser è un cavallo di Troia che gli hacker potrebbero sfruttare

loghi sennheiser hd1 wireless rosa floyd
Bill Roberson / Tendenze digitali

Anche se non ci si può aspettare che le cuffie pongano un rischio di sicurezza informatica, la società di sicurezza tedesca Secorvo ha scoperto che le cuffie Sennheiser potrebbero essere utilizzate come un cavallo di Troia che potenzialmente apre il tuo computer agli hacker. Fortunatamente, il problema non è legato all'hardware, poiché le cuffie stesse sono sicure da usare. Invece, il difetto di sicurezza esiste all'interno del software HeadSetup di Sennheiser e in che modo installa e gestisce i certificati crittografati sul PC.

Secondo i ricercatori, il software desktop di Sennheiser stava installando un certificato radice autofirmato nell'archivio certificati CA Trusted Root valido fino al 13 gennaio 2027, oltre a una chiave privata crittografata. Il problema per Sennheiser è che il certificato utilizza la stessa chiave di decrittazione per ogni installazione del software. Un utente malintenzionato in grado di decrittografare questa chiave sarebbe in grado di emettere certificati falsi che impersonificano qualsiasi sito Web HTTPS. Questi nuovi certificati consentirebbero agli hacker di accedere al traffico per altri domini, consentendo agli hacker di eseguire attacchi man-in-the-middle.

"Abbiamo scoperto che – causato da un difetto di implementazione critica – la chiave per la firma segreta di uno dei certificati radice clandestini piantati può essere facilmente ottenuta da un aggressore", ha osservato Secorvo nel suo rapporto . "Questo gli consente di firmare e rilasciare certificati tecnicamente affidabili. Gli utenti interessati da questo bug di implementazione possono diventare vittime di tale falsificazione del certificato, consentendo a un utente malintenzionato di inviare [per esempio] software firmato affidabile o di agire come un'autorità autorizzata da Sennheiser. "

"Con questo, un hacker potrebbe effettivamente spiare il traffico di una persona e leggere e modificare il traffico presumibilmente crittografato in domini mirati", ha osservato The Inquirer del pericolo della vulnerabilità di HeadSetup. "Da lì, le informazioni potrebbero essere rubacchiate, come i dati relativi all'accesso ai servizi web."

Come risultato del rapporto Secorvo, Microsoft ha anche emesso un avviso di sicurezza ADV180029, avvertendo gli utenti e l'amministratore di sistema che "inavvertitamente divulgato i certificati digitali potrebbero consentire lo spoofing". Questo tipo di vulnerabilità non è dissimile dal diffuso bug Lenovo Superfish del 2015. Nel Nel caso Lenovo, gli utenti sono venuti a conoscenza del fatto che i bloatware preinstallati sono stati firmati con un debole certificato di sicurezza che potrebbe consentire agli hacker di iniettare software dannoso sui sistemi Lenovo o accedere a dati che altrimenti sarebbero stati crittografati.

Sennheiser afferma che sta lavorando ad un aggiornamento del suo software HeadSetup per correggere la vulnerabilità. "Sennheiser è stata informata in anticipo di questa vulnerabilità, è a conoscenza dell'impatto della vulnerabilità e ha iniziato a lavorare su una versione aggiornata di HeadSetup per risolvere il problema", ha scritto Secorvo nel suo rapporto. "Secondo gli sviluppatori, questo processo richiederà un po '."

Nel frattempo, Sennheiser ha implementato una correzione temporanea per mantenere gli utenti protetti rimuovendo il certificato. Gli utenti possono accedere alla soluzione temporanea attraverso il sito di supporto del produttore di cuffie mentre il software HeadSetup viene aggiornato.

( Fonte )