Un equipo de investigadores ha descubierto una puerta trasera oculta en el chip ESP32, un microcontrolador ampliamente utilizado en dispositivos de Internet de las Cosas (IoT), que permitiría ataques de suplantación de identidad, acceso no autorizado a datos y comprometer dispositivos conectados en la red. Este hallazgo, presentado en RootedCON 2025, pone en riesgo más de 1.000 millones de dispositivos en todo el mundo.
El descubrimiento fue realizado por los especialistas en ciberseguridad Miguel Tarascó Acuña y Antonio Vázquez Blanco, de la firma Tarlogic Security, quienes identificaron 29 comandos no documentados en el firmware del ESP32, que podrían ser aprovechados para controlar remotamente el chip y realizar ataques avanzados.
¿Qué implica esta vulnerabilidad?
El ESP32, fabricado por Espressif, es un microcontrolador que permite la conectividad WiFi y Bluetooth y se encuentra presente en una gran variedad de dispositivos, desde electrodomésticos inteligentes hasta dispositivos médicos y sistemas de seguridad. La vulnerabilidad descubierta permite:
- Modificar la memoria RAM y Flash del dispositivo, lo que posibilita la ejecución de código malicioso.
- Falsificar direcciones MAC, facilitando ataques de suplantación de identidad.
- Inyectar paquetes de bajo nivel en la comunicación Bluetooth, lo que abre la puerta a ataques avanzados en la red.
Según los investigadores, la explotación de estos comandos permitiría a un atacante no solo comprometer el dispositivo donde se encuentra el ESP32, sino también expandir su control a otros dispositivos conectados en la misma red.
¿Cómo se descubrió esta puerta trasera?
El equipo de Tarlogic Security desarrolló un driver USB Bluetooth HCI en C, diseñado para permitir acceso directo al hardware sin depender de APIs del sistema operativo. Gracias a esta herramienta, pudieron interceptar y analizar el tráfico Bluetooth en profundidad, lo que llevó al hallazgo de los comandos no documentados.
Estos comandos, categorizados como Opcode 0x3F, permiten un acceso de bajo nivel al microcontrolador, proporcionando un control total sobre sus funciones inalámbricas. Espressif no ha documentado estos comandos públicamente, lo que sugiere que podrían haber sido incluidos por error o como una funcionalidad interna no destinada a uso público.
Impacto en la seguridad y posibles ataques
Los investigadores advierten que la existencia de esta puerta trasera abre la posibilidad a múltiples escenarios de ataque:
- Explotación remota mediante firmware modificado o conexiones Bluetooth manipuladas.
- Persistencia en dispositivos IoT, permitiendo a un atacante mantener el acceso incluso después de reiniciar el sistema.
- Ataques en la cadena de suministro, en los que fabricantes o proveedores malintencionados podrían aprovechar la vulnerabilidad para instalar puertas traseras en dispositivos antes de su distribución.
- Compromiso de redes enteras, utilizando el ESP32 como un punto de acceso para lanzar ataques contra otros dispositivos conectados.
Medidas de mitigación
Dado el impacto global de esta vulnerabilidad, los expertos recomiendan una serie de medidas para minimizar los riesgos:
- Actualizar el firmware del ESP32 tan pronto como Espressif publique una corrección.
- Restringir el acceso físico a los dispositivos que utilicen este microcontrolador.
- Implementar monitorización activa del tráfico Bluetooth y WiFi en entornos críticos.
- Evitar el uso del ESP32 en sistemas sensibles hasta que se garantice su seguridad.
¿Espressif responderá?
Hasta el momento, Espressif no ha emitido un comunicado oficial sobre la presencia de esta puerta trasera en sus chips ESP32. La comunidad de ciberseguridad espera que la empresa responda con actualizaciones de seguridad y mayor transparencia en la documentación de sus microcontroladores.
Este hallazgo destaca la necesidad de auditorías de seguridad constantes en dispositivos IoT, especialmente cuando su uso se extiende a entornos críticos como la industria, la salud y los sistemas de seguridad doméstica. La dependencia de hardware con vulnerabilidades ocultas podría representar un riesgo de seguridad significativo para millones de usuarios en todo el mundo.
