Vitale infrastructuur in India is het doelwit van aanvallen geweest waarbij aanvallers door middel van kwetsbaarheden in de Boa-webserver wisten binnen te dringen, zo stelt Microsoft op basis van eigen onderzoek. De Boa-webserver wordt echter sinds 2005 niet meer door de ontwikkelaar met beveiligingsupdates ondersteund. Desondanks maken nog allerlei Internet of Things-leveranciers er gebruik van, aldus Microsoft.

De webserver maakt het mogelijk om op afstand toegang te krijgen tot instellingen, managementconsoles en inlogschermen van apparaten. De software wordt voor allerlei apparaten gebruikt, van routers tot camera's. Volgens Microsoft is de populariteit van de Boa-webserver mogelijk te verklaren doordat de software in allerlei populaire software development kits (SDK's) aanwezig is waar IoT-fabrikanten binnen hun producten gebruik van maken.

Er zitten twee kwetsbaarheden in de Boa-webserver waarbij een aanvaller de inloggegevens van gebruikers kan achterhalen om vervolgens in te loggen en code uit te voeren. Misbruik van de kwetsbaarheden vereist geen authenticatie, waardoor ze een aantrekkelijk doelwit zijn, laat Microsoft weten. Via een gecompromitteerd apparaat zijn vervolgens verdere aanvallen op het achterliggende netwerk uit te voeren.

"De populariteit van de Boa-webserver laat het potentiële risico van een onveilige toeleveringsketen zien, zelfs wanneer security best practices worden toegepast voor apparaten in het netwerk", stelt Microsoft. "Het updaten van firmware van IoT-apparaten helpt niet altijd voor SDK's of specifieke chip-onderdelen en er is een beperkte zichtbaarheid in onderdelen en of ze te updaten zijn." He techbedrijf adviseert dan ook om IoT-apparaten door middels van firewalls te isoleren.