Redazione RHC : 22 Agosto 2023 17:04
I ricercatori dell’Università di Catania in Italia e dell’Università di Londra hanno scoperto quattro vulnerabilità nelle lampadine intelligenti TP-Link Tapo L530E e nell’app TP-Link Tapo. Questi difetti possono aprire la strada alle credenziali Wi-Fi per qualsiasi utente malintenzionato.
TP-Link Tapo L530E è uno dei leader nelle vendite su vari siti, anche grandi come Amazon. L’app per il controllo dei dispositivi intelligenti ha oltre 10 milioni di download.
I ricercatori hanno deciso di studiare questo prodotto non solo per la sua popolarità, ma anche per far prestare attenzione ai problemi di sicurezza comuni nei meccanismi dell’Internet delle cose (IoT).
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La prima vulnerabilità scoperta (CVSS v3.1:8.8) è legata all’autenticazione debole. Sarà facile per un utente malintenzionato effettuare un attacco Man-In-The-Middle imitando un dispositivo per scambiare chiavi di sessione e ottenere l’accesso all’applicazione Tapo.
Dall’applicazione vengono estratti il nome Wi-Fi e la password della vittima , che successivamente consentirà di gestire tutti i dispositivi di rete.
Utilizzando la seconda vulnerabilità (CVSS v3.1: 7.6), i malintenzionati possono sfruttare un breve checksum predefinito (hardcoded). Inoltre, il metodo della “forza bruta” aiuterà a decrittografare questo valore e ad aggirare il sistema di sicurezza.
Un vreve checksum è un piccolo insieme di dati ricavato da una grande quantità di informazioni per una verifica rapida. Lo strumento è utile per trovare errori nel codice o per assicurarsi che i file non siano stati modificati.
Il terzo problema è la mancanza di elementi casuali nella crittografia simmetrica. Nella crittografia di sicurezza, la casualità gioca un ruolo chiave: meno un sistema è prevedibile, più è difficile da violarlo.
La quarta vulnerabilità è legata al fatto che la pertinenza dei messaggi non viene verificata in alcun modo. Le chiavi di sessione rimangono valide per 24 ore, il che dà all’aggressore mano libera per intercettare i messaggi. Ciò ti consentirà di manipolare il sistema o ottenere l’accesso a informazioni sensibili.
I ricercatori hanno prontamente riferito i loro risultati a TP-Link, che ha riconosciuto tutti i problemi e ha deciso di rilasciare delle patch nel prossimo futuro. Tuttavia, non è ancora noto se le correzioni siano state implementate.
Per migliorare la sicurezza dei dispositivi IoT, si consiglia di isolarli dalle reti critiche, aggiornare regolarmente firmware e applicazioni e utilizzare l’autenticazione a due fattori e password complesse.
RedazioneIn un mondo in cui la musica è da tempo migrata verso lo streaming e le piattaforme digitali, un appassionato ha deciso di tornare indietro di sei decenni, a un’epoca in cui le melodie potevano anc...
La frase “Costruiremo sicuramente un bunker prima di lanciare l’AGI” dal quale prende spunto l’articolo, è stata attribuita a uno dei leader della Silicon Valley, anche se non è chiaro a chi...
Negli Stati Uniti, una vasta campagna coordinata tramite botnet sta prendendo di mira i servizi basati sul protocollo Remote Desktop Protocol (RDP). Un pericolo notevole è rappresentato dalla scala e...
Un’ondata di messaggi di phishing sta colpendo in questi giorni numerosi cittadini lombardi. Le email, apparentemente inviate da una società di recupero crediti, fanno riferimento a presunti mancat...
La scorsa settimana, Oracle ha avvisato i clienti di una vulnerabilità zero-day critica nella sua E-Business Suite (CVE-2025-61882), che consente l’esecuzione remota di codice arbitrario senza aute...
