Ernstige kwetsbaarheid in ESP32-chip stelt miljoenen IoT-apparaten bloot aan externe aanvallen

Onderzoeksteam Ontdekt Verborgen Achterdeur in ESP32 Chip, Bedreigt Miljarden IoT Apparaten

Een team van onderzoekers heeft een verborgen achterdeur ontdekt in de ESP32-chip, een microcontroller die veel wordt gebruikt in apparaten voor het Internet der Dingen (IoT). Deze kwetsbaarheid zou kunnen leiden tot identiteitsdiefstal, ongeautoriseerde toegang tot gegevens en compromittering van verbonden apparaten binnen netwerken. Deze bevinding, gepresenteerd op RootedCON 2025, vormt een risico voor meer dan 1 miljard apparaten wereldwijd.

De ontdekking werd gedaan door cybersecurityspecialisten Miguel Tarascó Acuña en Antonio Vázquez Blanco van het bedrijf Tarlogic Security. Zij identificeerden 29 niet gedocumenteerde commando’s in de firmware van de ESP32, die kunnen worden benut om de chip op afstand te bedienen en geavanceerde aanvallen uit te voeren.

Wat houdt deze kwetsbaarheid in?

De ESP32, geproduceerd door Espressif, is een microcontroller die WiFi en Bluetooth connectiviteit mogelijk maakt en in een breed scala aan apparaten wordt gebruikt, van slimme huishoudelijke apparaten tot medische apparatuur en beveiligingssystemen. De ontdekte kwetsbaarheid maakt het mogelijk om:

• Het RAM en Flash-geheugen van het apparaat te wijzigen, wat de uitvoering van kwaadaardige code mogelijk maakt.
• MAC-adressen te vervalsen, wat identiteitsdiefstal vergemakkelijkt.
• Laag-niveau-pakketten in de Bluetooth-communicatie te injecteren, wat de weg opent voor geavanceerde aanvallen binnen het netwerk.

Volgens de onderzoekers zou de exploitatie van deze commando’s een aanvaller niet alleen in staat stellen om het apparaat met de ESP32 te compromitteren, maar ook om hun controle uit te breiden naar andere apparaten die verbonden zijn met hetzelfde netwerk.

Hoe werd deze achterdeur ontdekt?

Het team van Tarlogic Security ontwikkelde een USB Bluetooth HCI-driver in C, ontworpen om directe toegang tot de hardware mogelijk te maken zonder afhankelijk te zijn van API’s van het besturingssysteem. Dankzij deze tool konden ze het Bluetooth-verkeer grondig onderscheppen en analyseren, wat leidde tot het vinden van de niet gedocumenteerde commando’s.

Deze commando’s, gecategoriseerd als Opcode 0x3F, bieden een laag niveau van toegang tot de microcontroller en bieden volledige controle over zijn draadloze functies. Espressif heeft deze commando’s niet publiekelijk gedocumenteerd, wat suggereert dat ze mogelijk per ongeluk of als een interne functionaliteit zijn inbegrepen die niet is bedoeld voor openbaar gebruik.

Impact op de veiligheid en mogelijke aanvallen

De onderzoekers waarschuwen dat het bestaan van deze achterdeur de mogelijkheid opent voor meerdere aanvalsscenario’s:

1. Remote exploitatie via gemanipuleerde firmware of Bluetooth-verbindingen.
2. Persistente toegang in IoT-apparaten, wat een aanvaller in staat stelt toegang te behouden, zelfs na een herstart van het systeem.
3. Aanvallen in de toeleveringsketen, waarbij kwaadwillige fabrikanten of leveranciers de kwetsbaarheid kunnen gebruiken om achterdeurtjes te installeren in apparaten vóór distributie.
4. Compromittering van volledige netwerken, waarbij de ESP32 kan dienen als toegangspunt om aanvallen op andere verbonden apparaten uit te voeren.

Maatregelen ter mitigatie

Gezien de wereldwijde impact van deze kwetsbaarheid, raden experts een reeks maatregelen aan om de risico’s te minimaliseren:

• Update de firmware van de ESP32 zodra Espressif een oplossing publiceert.
• Beperk de fysieke toegang tot apparaten die deze microcontroller gebruiken.
• Voer actieve monitoring uit van Bluetooth- en WiFi-verkeer in kritieke omgevingen.
• Vermijd het gebruik van de ESP32 in gevoelige systemen totdat de veiligheid is gegarandeerd.

Zal Espressif reageren?

Tot nu toe heeft Espressif geen officieel bericht uitgegeven over de aanwezigheid van deze achterdeur in hun ESP32-chips. De cybersecuritygemeenschap hoopt dat het bedrijf zal reageren met veiligheidsupdates en meer transparantie in de documentatie van hun microcontrollers.

Deze ontdekking benadrukt de noodzaak van continue beveiligingsaudits van IoT-apparaten, vooral wanneer hun gebruik zich uitbreidt naar kritieke omgevingen zoals de industrie, gezondheidszorg en huishoudelijke beveiligingssystemen. De afhankelijkheid van hardware met verborgen kwetsbaarheden kan een aanzienlijk beveiligingsrisico vormen voor miljoenen gebruikers wereldwijd.

Bron: Veiligheidsnieuws