Los investigadores han descubierto casi dos docenas de vulnerabilidades que podrían permitir a los piratas informáticos dañar o desactivar una línea popular de herramientas de llave conectadas a la red que se utilizan en fábricas de todo el mundo para ensamblar instrumentos y equipos sensibles.
Investigadores de la firma de seguridad Nozomi informaron el martes que existen vulnerabilidades en el atornillador de tuercas portátil Bosch Rexroth NXA015S-36V-B. El dispositivo inalámbrico se conecta de forma inalámbrica a la red local de la empresa que lo utiliza, lo que permite a los ingenieros apretar pernos y otros sujetadores mecánicos a niveles de torque precisos, críticos para la seguridad y la confiabilidad. Si los sujetadores están demasiado flojos, el equipo podría sobrecalentarse y provocar un incendio. Cuando están demasiado apretadas, las roscas fallarán, lo que dará como resultado un torque demasiado flojo.
Nutrunner ofrece una pantalla de indicación del nivel de par que fue certificada por la Sociedad Alemana de Ingenieros y adoptada por la industria automotriz en 1999. El firmware NEXO-OS que se ejecuta en el dispositivo se puede controlar a través de una interfaz de administración basada en navegador.
Los investigadores de Nozomi dijeron que el dispositivo tenía 23 vulnerabilidades que, en algunos casos, podrían aprovecharse para instalar malware. Luego, el malware podría usarse para desactivar una flota completa de dispositivos, o hacer que los dispositivos se ajusten demasiado flojo o demasiado fuerte, mientras la pantalla continúa mostrando que las configuraciones clave aún están en su lugar correctamente.
Los funcionarios de Bosch enviaron por correo electrónico una declaración que incluía la frase habitual de que la seguridad es una máxima prioridad. El comunicado también decía que Nozomi contactó proactivamente a Bosch hace varias semanas para revelar las vulnerabilidades. "Bosch Rexroth adoptó inmediatamente esta recomendación y está desarrollando un parche para resolver el problema. El parche se lanzará a finales de enero de 2024", se lee en el comunicado.