Se crearon dispositivos para casas inteligentes para automatizar tareas repetitivas y facilitar el uso diario de los usuarios. Sin embargo, para realizar esta función, interactúan con el Wi-Fi de inicio y se unen a otros dispositivos a través de Bluetooth y diferentes protocolos de comunicación. El problema es que la mayoría de estos dispositivos pueden estar expuestos a ataques contra la privacidad de los usuarios. Todo debido a los comandos ocultos en uno de los microcontroladores más utilizados en el mercado. ¡Todos los dispositivos inteligentes que tiene en casa pueden estar en riesgo!
Los dispositivos inteligentes que tiene en casa pueden estar en riesgo
Los microcontroladores ESP32, fabricados por Espressif, ya han excedido la marca de miles de millones de unidades vendidas. Por lo tanto, se usan ampliamente en varios productos, desde kits de desarrollo hasta IoT (Internet de las cosas) para niños hasta dispositivos de consumo electrónico a gran escala. Gracias a su bajo consumo de energía y su compatibilidad con Bluetooth y Wi-Fi, están presentes en enchufes inteligentes, sistemas de seguridad para el hogar, controladores de puertos de garaje e incluso cintas LED inteligentes.
Sin embargo, los investigadores de Tarlogic Security han revelado recientemente en la Conferencia de Seguridad de RootedCon en Madrid que ESP32 contiene vulnerabilidades que pueden comprometer la seguridad de los usuarios (a través de BleepingComuter). Se identificaron 29 comandos específicos del fabricante que no se documentaron en el firmware del microcontrolador. Por lo tanto, permita el control avanzado de las funciones Bluetooth. También la manipulación de la memoria, la falsificación de las direcciones MAC para imitar dispositivos e incluso la inyección de paquetes de datos.
Aunque parece poco probable que alguien quiera explorar fallas en su microcontrolador solo para conectar la máquina de café de forma remota, los expertos advierten que estas vulnerabilidades se pueden explorar para crear malware persistente. Tal malware podría infiltrarse en los dispositivos inteligentes de la casa y llevar a cabo ataques de falsificación de identidad, abriendo puertas a amenazas más graves.
La vulnerabilidad ya está bajo investigación
Dado el uso masivo de chips ESP32, los investigadores señalaron que cualquier ataques basados en esta vulnerabilidad podría ser extremadamente difícil de detectar y eliminar. Dado que el código explotado no se cataloga oficialmente, el malware podría modificar la memoria RAM y flash del dispositivo, permaneciendo oculto y resistente a las eliminaciones convencionales.
Sin embargo, hay un factor que limita el riesgo inmediato. Tanto Bluetooth como Wi-Fi tienen un rango relativamente corto. Esto significa que un posible atacante necesitaría estar físicamente cerca para introducir malware en el dispositivo ESP32. Sin embargo, si puede infiltrarse en un solo dispositivo, esta vulnerabilidad puede funcionar como un punto de entrada para comprometer a otros equipos en la misma red, facilitando la propagación del ataque por Wi-Fi o Bluetooth.
Hasta ahora, Espressif aún no ha comentado sobre el tema, aunque los comandos ocultos solo pueden ser funciones de autorización de hardware. Sin embargo, los investigadores de Tarlogic ya han registrado vulnerabilidad bajo el código CVE-2025-27840. Esto aumenta la esperanza de que una actualización de firmware pueda corregir el problema y proteger los dispositivos afectados.
¡AMD quiere apostar duro por teléfonos móviles y portátiles!
¿Es esto un bolígrafo? ¿Es un SSD? ¡Team Group lanzó algo interesante!
