Peneliti di Microsoft mengatakan mereka telah menemukan komponen sumber terbuka yang rentan di server web Boa, yang masih banyak digunakan di berbagai router dan kamera keamanan, serta kit pengembangan perangkat lunak (SDK) yang populer, meskipun perangkat lunak tersebut sudah pensiun pada tahun 2005. Raksasa teknologi mengidentifikasi komponen tersebut saat menyelidiki dugaan gangguan jaringan listrik India yang pertama kali dirinci oleh Recorded Future pada bulan April, di mana penyerang yang disponsori negara China menggunakan perangkat IoT untuk mendapatkan pijakan pada jaringan operational technology (OT), yang digunakan untuk memantau dan mengendalikan industri fisik
Perusahaan menambahkan bahwa penyerang terus berupaya mengeksploitasi kelemahan Boa, yang mencakup bug pengungkapan informasi dengan tingkat keparahan tinggi (CVE-2021-33558) dan kelemahan akses file arbitrer lainnya (CVE-2017-9833).
“[Vulnerabilities/Kerentanan] yang diketahui memengaruhi komponen tersebut dapat memungkinkan penyerang mengumpulkan informasi tentang aset jaringan sebelum memulai serangan, dan untuk mendapatkan akses ke jaringan tanpa terdeteksi dengan memperoleh kredensial yang valid,” kata Microsoft,
Microsoft mengatakan serangan terbaru yang diamati adalah kompromi Tata Power pada bulan Oktober. Pelanggaran ini mengakibatkan grup ransomware Hive menerbitkan data yang dicuri dari raksasa energi India, yang mencakup informasi sensitif karyawan, gambar teknik, catatan keuangan dan perbankan, catatan klien, dan beberapa kunci pribadi.
Perusahaan telah memperingatkan bahwa mengurangi kelemahan Boa ini sulit karena popularitas yang terus berlanjut dari server web yang sekarang sudah tidak berfungsi dan sifat rumit dari bagaimana itu dibangun ke dalam rantai pasokan perangkat IoT.Peringatan Microsoft sekali lagi menyoroti risiko rantai pasokan yang ditimbulkan oleh kelemahan dalam komponen jaringan yang digunakan secara luas. Log4Shell, kerentanan zero-day yang tahun lalu diidentifikasi di Log4j, pustaka logging Apache open-source, diperkirakan berpotensi memengaruhi lebih dari tiga miliar perangkat.
sumber : tech crunch
