Een kwetsbaarheid in de Bosch BCC100, BCC101, BCC102, BCC50 wifi-thermostaat maakt het mogelijk voor aanvallers op hetzelfde netwerk om malafide firmware te installeren, zo meldt antivirusbedrijf Bitdefender dat het probleem ontdekte. Bosch heeft een update uitgebracht om het probleem te verhelpen. De Bosch BCC100 is een met internet verbonden thermostaat die gebruikers via de bijbehorende app kunnen bedienen.
Onderzoekers van Bitdefender ontdekten dat de wifi-chip van de thermostaat op het lokale netwerk TCP-poort 8899 open heeft staan en alle inkomende berichten op die poort meteen doorzet naar de microcontroller. "Dit houdt in dat, indien in het juiste formaat, de microcontroller geen onderscheid kan maken tussen malafide berichten en echte berichten afkomstig van de cloudserver", aldus het antivirusbedrijf. Een aanvaller kan zo allerlei commando's naar de thermostaat sturen, waaronder het installeren van een malafide firmware-update. Via deze update zou het mogelijk zijn om de thermostaat te saboteren of uit te schakelen.
Bosch werd vorig jaar augustus ingelicht en kwam in oktober met een update die poort 8899 sluit. De impact van de kwetsbaarheid (CVE-2023-49722) is op een schaal van 1 tot en met 10 beoordeeld met een 8.3. Bitdefender adviseert gebruikers om IoT-apparaten zoveel mogelijk te isoleren van het lokale netwerk.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.