7 hours ago
1
Jakarta, CNBC Indonesia - Produsen chip asal China, Espressif, mengembangkan microchip ESP32 untuk koneksi Wi-Fi dan Bluetooth pada perangkat-perangkat Internet of Things (IoT). Misalnya kulkas pintar, lampu pintar, speaker pintar, dsb.
Pada 2023, dilaporkan lebih dari 1 miliar perangkat IoT yang tersebar di seluruh dunia menggunakan ESP32. Sayangnya, ESP32 ternyata berisi perintah tak terdokumentasi (backdoor) yang mengancam keamanan pengguna.
Backdoor memungkinkan pemalsuan perangkat, akses data yang tidak sah, pengalihan ke perangkat lain di dalam jaringan, dan berpotensi membangun persistensi jangka panjang.
Risiko ini ditemukan oleh peneliti Spanyol Miguel Tarascó Acuña dan Antonio Vázquez Blanco dari Tarlogic Security. Mereka mempresentasikan temuan tersebut dalam gelaran RootedCON di Madrid.
"Tarlogic Security telah mendeteksi backdoor di ESP32 yang digunakan pada jutaan perangkat IoT massal," kata pihak Tarlogic, dikutip dari BleepingComputer, Senin (10/3/2025).
"Eksploitasi backdoor ini akan memungkinkan aktor jahat melakukan serangan peniruan identitas dan menginfeksi perangkat sensitif secara permanen seperti ponsel, komputer, kunci pintar, atau peralatan medis, dengan melewati kontrol audit kode."
Para peneliti memperingatkan bahwa ESP32 adalah salah satu chip yang paling banyak digunakan di dunia untuk konektivitas Wi-Fi dan Bluetooth di perangkat IoT, sehingga risikonya signifikan.
Dalam presentasinya, para peneliti Tarlogic menjelaskan bahwa minat terhadap penelitian keamanan Bluetooth telah berkurang, tetapi bukan karena implementasinya lebih aman.
Sebaliknya, sebagian besar serangan yang ditemukan sepanjang tahun lalu tidak berasal dari alat canggih, bahkan cenderung menggunakan alat yang sudah ketinggalan zaman atau tidak terawat. Kebanyakan bahkan tidak kompatibel dengan sistem modern.
Tarlogic mengembangkan driver Bluetooth USB berbasis C baru yang bersifat independen terhadap perangkat keras dan lintas platform, yang memungkinkan akses langsung ke perangkat keras tanpa bergantung pada API khusus OS.
Berbekal alat baru ini, Tarlogic menemukan perintah khusus vendor tersembunyi (Opcode 0x3F) dalam firmware Bluetooth ESP32 yang memungkinkan kontrol tingkat rendah atas fungsi Bluetooth.
Secara keseluruhan, mereka menemukan 29 backdoor yang dapat digunakan untuk manipulasi memori (membaca/menulis RAM dan Flash), spoofing alamat MAC (peniruan identitas perangkat), dan injeksi paket LMP/LLCP.
Espressif belum mendokumentasikan perintah-perintah ini secara publik, jadi perintah-perintah tersebut tidak dimaksudkan untuk dapat diakses, atau dibiarkan secara tidak sengaja. Masalah ini sekarang dilacak di bawah kode CVE-2025-27840.
Risiko lainnya, penjahat siber bisa memanfaatkan backdoor untuk menanam malware atau mendorong pembaruan berbahaya pada perangkat yang membuka akses tingkat rendah.
BleepingComputer telah menghubungi Espressif untuk meminta pernyataan mengenai temuan para peneliti tersebut, tetapi komentarnya belum tersedia.
(fab/fab)
Saksikan video di bawah ini:
Video: Berantas Penipuan BTS Palsu, Komdigi Belajar Dari Singapura
Next Article Penipu China Gempur Habis-habisan, Pemerintah AS Terguncang
