Специалисты испанской компании Tarlogic Security обнаружили в широко распространенном микроконтроллере ESP32, используемом в более чем миллиарде устройств, скрытые команды, которые могут быть использованы злоумышленниками для проведения атак. Эти команды позволяют имитировать доверенные устройства, получать несанкционированный доступ к информации, проникать в другие устройства в сети и закрепляться в системе на продолжительное время. Информация об этом открытии была представлена на конференции RootedCON в Мадриде.
В общей сложности было выявлено 29 скрытых команд, предоставляющих возможность манипулировать памятью чипа, изменять MAC-адреса устройств и внедрять пакеты данных в Bluetooth-соединения. На данный момент не установлено, были ли эти команды оставлены преднамеренно или в результате ошибки. Проблема получила идентификатор CVE-2025-27840. Использование этих функций может привести к атакам на уровне поставщиков, а также к взлому устройств через вредоносное программное обеспечение или уязвимые Bluetooth-соединения.
Производитель ESP32, компания Espressif, заявила, что обнаруженные функции не представляют существенной угрозы безопасности, однако пообещала удалить их в последующих обновлениях программного обеспечения. Исследователи, в свою очередь, предупреждают о возможности внедрения злоумышленниками сложных постоянных угроз (APT), контроля над устройствами через Wi-Fi или Bluetooth и распространения атак на другие системы.
Эксперт РОЦИТ Алексей Трифонов отметил важность контроля над кодом и микросхемами для обеспечения безопасности. Он подчеркнул, что уязвимости и бэкдоры могут быть внедрены не только в аппаратное обеспечение, но и в операционные системы, облачные сервисы, мессенджеры и социальные сети. Трифонов считает, что Россия движется в правильном направлении, реализуя политику импортозамещения, что в перспективе позволит обеспечить технологическую независимость от западных решений.
