Miljardista IoT-laitteesta löytyi dokumentoimattomia komentoja

Espanjalaiset tietoturvatutkijat ovat löytäneet epäilyttävän löydöksen yhdestä maailman eniten käytystä Bluetooth-piiristä, kiinalaisvalmisteisesta ESP32:stä. Piirin valmistaja on kiinalainen Espressif.

Kyseessä ei ole niinkään takaportti, vaan se, että piiristä on paljastunut nippu komentoja, joita piiri osaa käsitellä, joita ei ole koskaan julkaistu piirin dokumentaatiossa.

Tutkijat löysivät ESP32-piiristä käskyn, jonka vastaanottaessaan piiri sallii pääsyn piirin "syvemmälle tasolle", mahdollistaen sellaistenkin Bluetooth-komentojen suorittamisen, joita piiriä käyttävän laitteen ei pitäisi koskaan suorittaa.

Dokumentoimattien komentojen avulla piiriä käyttävä laite voidaan mm. näyttää kokonaan eri laitteena verkossa, eli sen MAC-osoite voidaan muuttaa dokumentoimattomien komentojen avulla.

Löydökset on julkaistu haavoittuvuutena, jonka tunniste on CVE-2025-27840, vaikka sinänsä kyseessä ei ole tavanomaisen määritelmän mukainen haavoittuvuus. Dokumentoimattomien komentojen riskiarviota ei ole toistaiseksi julkaistu.

Aiheesta syvällisesti uutisoineen Bleeping Computerin mukaan ESP32-piiriä käytetään nimenomaan IoT-laitteissa, eli verkkoon kytkeytyvissä älykodin laitteissa, kuten lämpömittareissa, älykkäissä jääkaapeissa ja verkkoon kytkeytyvissä mikroaaltouuneissa.

Löytynyttä ongelmaa ei ilmeisesti käytetä missään hyökkäyksissä ja vaikuttaa epätodennäköiseltä, että sitä voitaisiin käyttää mihinkään pahantahtoiseen toimintaan laitteissa, joiden tietoturva ei ole jo ennestään jollain tavalla vaarantunut.

Päivitetty 10.3.2025: Muutettu sivuilla näkyvää otsikkoa kuvaamaan löytynyttä ongelmaa tarkemmin sekä täsmennetty sitä, että dokumentoimattomien käskyjen suorittaminen ei ole haavoittuvuus tai takaportti.

• IoT
• Bluetooth