Vulnerabilidad en enteliBUS de Delta Controls: Control remoto de sistemas de edificios expuesto

El sistema de control enteliBUS de Delta Controls, un controlador BACnet programable, una vez anunció la promesa de «gestionar toda su planta central desde un solo controlador». Sin embargo, esa conveniencia se ha convertido en una espada de doble filo, ya que una vulnerabilidad reciente expuso el sistema a toma de control remoto total.

Qué Significa la Vulnerabilidad

El fallo, identificado como CVE‑2019‑9569, permite a un atacante desencadenar un desbordamiento de búfer enviando tráfico de red malformado. Una vez explotado, el atacante puede emitir comandos BACnet arbitrarios, controlando efectivamente unidades HVAC, bombas, válvulas, iluminación e incluso sistemas de alarma en todo un edificio.

Demo en Vivo por McAfee

Durante la conferencia MPOWER de McAfee, el investigador senior Doug McKee demostró el exploit en un entorno de data center simulado. Con un solo comando, pudo alternar controles HVAC, deshabilitar bombas en red y encender y apagar alarmas —todo remotamente y sin acceso físico.

Como explicó McKee, «Con unas pocas pulsaciones, puedo proceder a encender la alarma». La demostración destacó cómo una simple carga maliciosa podría interrumpir operaciones críticas o incluso comprometer la seguridad de pacientes en hospitales donde enteliBUS gestiona habitaciones de presión positiva.

Impacto Potencial en Instalaciones

Edificios industriales que dependen de HVAC refrigerado por agua o sistemas de calderas son especialmente vulnerables. Un atacante podría apagar bombas, bloquear flujo de aire o alterar lecturas de temperatura, llevando a sobrecalentamiento de equipos, tiempo de inactividad de producción o riesgos de seguridad. La vulnerabilidad también permite ataques de denegación de servicio, pudiendo dejar sistemas de control de edificios completos fuera de línea.

Alcance y Visibilidad

Una búsqueda en Shodan en agosto de 2018 identificó 1.600 dispositivos enteliBUS Manager en todo el mundo, con una consulta posterior el 4 de octubre devolviendo casi 500 unidades expuestas —la mayoría ubicadas en Norteamérica. Muchas de estas ejecutaban firmware v3.40.571848, la versión exacta explotada en los laboratorios. Aunque algunos listados eran honeypots, el gran número de dispositivos expuestos subraya el riesgo global.

Respuesta y Mitigación

Delta Controls respondió rápidamente después de que McAfee revelara el problema el 7 de diciembre de 2018. La empresa lanzó un parche que, según McKee, remedió completamente la vulnerabilidad. Se insta a los usuarios a verificar que su firmware de enteliBUS Manager sea al menos versión 3.40.571848 o superior y aplicar el parche oficial desde el sitio web de Delta Controls.

Las organizaciones que operen enteliBUS o controladores BACnet similares deben realizar una auditoría de inventario rápida, imponer segmentación de red e implementar controles de acceso estrictos para mitigar el riesgo de explotación remota.