Le vulnerabilità di Bransys ELD potrebbero rivelare la telemetria in tempo reale delle flotte tramite credenziali condivise

Tre vulnerabilità nel software Bransys per dispositivi elettronici di registrazione potrebbero esporre a utenti non autorizzati la telemetria dei veicoli in tempo reale, i dati backend e, potenzialmente, il firmware. Le falle interessano versioni meno recenti per Android e iOS distribuite nel settore dei trasporti negli Stati Uniti.

CISA ha pubblicato l'avviso ICSA-26-260-01 il 17 settembre 2026. L'avviso riguarda due serie di credenziali incorporate e la cifratura inadeguata delle comunicazioni sensibili.

Il software interessato è:

• Bransys ELD per Android precedente alla versione 11.00.00
• Bransys ELD per iOS precedente alla versione 1.1.54

Tutte e tre le vulnerabilità interessano entrambe le piattaforme. Jaime Lightfoot ha segnalato i problemi a CISA.

L'accesso MQTT condiviso potrebbe esporre i dati di più operatori

Il problema più grave secondo CVSS v3.1 è CVE-2026-86520, un caso di credenziali MQTT hard-coded classificato come CWE-798.

MQTT viene comunemente utilizzato per scambiare messaggi leggeri tra dispositivi remoti e servizi backend. In questo caso, le credenziali incorporate nel prodotto potrebbero consentire a un aggressore di autenticarsi al broker MQTT interessato e leggere informazioni in tempo reale.

L'esposizione potrebbe essere più ampia di quella relativa a un singolo ELD compromesso. Secondo la descrizione di CISA, le credenziali potrebbero offrire visibilità su ogni dispositivo attivo appartenente a una parte degli operatori connessi allo stesso broker.

Questa dimensione di backend condiviso modifica in modo sostanziale il rischio. Un aggressore che ottenga credenziali funzionanti potrebbe non dover compromettere singolarmente camion o dispositivi mobili. L'accesso al broker potrebbe invece diventare un punto di ingresso centralizzato per la telemetria generata da più installazioni attive.

CVE-2026-86520 presenta le seguenti valutazioni:

• CVSS v3.1: 7,5 Alto
• Vettore CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
• CVSS v4.0: 8,7 Alto
• Vettore CVSS v4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

I vettori descrivono una vulnerabilità raggiungibile da remoto, con bassa complessità di attacco, che non richiede privilegi di account né interazione dell'utente. L'effetto valutato è una grave perdita di riservatezza, senza impatti dichiarati sull'integrità dei dati o sulla disponibilità del servizio.

CISA non ha divulgato le credenziali effettive, l'indirizzo del broker, gli argomenti dei messaggi esposti né i campi precisi della telemetria disponibili a un utente non autorizzato.

Le comunicazioni non cifrate creano una seconda vulnerabilità a livello di broker

CVE-2026-86689 riguarda informazioni sensibili trasmesse senza una cifratura adeguata. È associata a CWE-319, Cleartext Transmission of Sensitive Information.

Un aggressore che soddisfi le condizioni necessarie potrebbe connettersi al broker e leggere i dati disponibili tramite quest'ultimo. Il problema completa quindi quello relativo alle credenziali: una vulnerabilità riguarda il modo in cui viene autenticato l'accesso, mentre l'altra riguarda la protezione delle informazioni sensibili durante il transito.

La gravità cambia considerevolmente a seconda del sistema di valutazione:

• CVSS v3.1: 5,9 Medio
• Vettore CVSS v3.1: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
• CVSS v4.0: 8,2 Alto
• Vettore CVSS v4.0: AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Entrambe le valutazioni indicano una potenziale perdita elevata di riservatezza. CVSS v3.1 considera lo sfruttamento ad alta complessità, mentre il vettore CVSS v4.0 registra una condizione preliminare necessaria tramite AT:P.

Nessuno dei due modelli attribuisce alla falla conseguenze sull'integrità o sulla disponibilità. La descrizione pubblicata non specifica inoltre se il traffico esposto sia costituito da messaggi tra dispositivi e broker, comunicazioni amministrative, materiale di autenticazione o una combinazione di questi elementi.

Le credenziali FTP incorporate espongono i materiali backend archiviati

La terza vulnerabilità, CVE-2026-77960, riguarda credenziali hard-coded per un servizio FTP. Come il problema relativo a MQTT, è classificata come CWE-798.

Un aggressore potrebbe utilizzare le credenziali incorporate per connettersi al server FTP associato e leggere le informazioni archiviate. La sintesi più ampia dell'avviso menziona l'accesso non autorizzato al firmware, ma non identifica i file precisi, la struttura delle directory né i permessi disponibili tramite l'account FTP.

Alla falla sono stati assegnati i seguenti punteggi:

• CVSS v3.1: 5,3 Medio
• Vettore CVSS v3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVSS v4.0: 6,9 Medio
• Vettore CVSS v4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Lo sfruttamento avviene tramite la rete, richiede una bassa complessità e non dipende da privilegi o dall'interazione dell'utente. L'impatto sulla riservatezza è valutato come inferiore rispetto a quello delle vulnerabilità legate a MQTT.

Non è stata resa nota la possibilità di caricare o modificare il firmware. Allo stesso modo, le descrizioni delle vulnerabilità non affermano che gli aggressori possano modificare i registri ELD, controllare i veicoli, interrompere il servizio o impartire comandi ai dispositivi.

Gli operatori delle flotte sono esposti a rischi per riservatezza e privacy

Bransys ELD viene utilizzato in contesti di trasporto, dove la telemetria può contenere informazioni operative sensibili. Una visibilità non autorizzata potrebbe compromettere il monitoraggio delle flotte, la riservatezza della logistica e la privacy dei conducenti o di altre persone rappresentate nei dati raccolti.

La portata trasversale della vulnerabilità MQTT è la principale preoccupazione. L'esposizione attraverso un broker comune può produrre conseguenze su scala di singolo operatore o di più operatori, invece di limitare l'incidente a una sola installazione dell'applicazione mobile.

L'impatto documentato rimane tuttavia concentrato sull'accesso ai dati. Non esistono prove pubblicate che dimostrino come queste CVE offrano un percorso per modificare i registri, interrompere le operazioni della flotta o assumere il controllo di un ELD.

CISA ha dichiarato di non aver ricevuto segnalazioni di sfruttamento pubblico noto mirato specificamente alle tre vulnerabilità al momento della pubblicazione dell'avviso. Non sono state comunicate aggiunte al catalogo Known Exploited Vulnerabilities di CISA, scadenze di remediation KEV o precedenti recenti relativi a Bransys nel catalogo KEV.

La distinzione è importante: secondo le ipotesi alla base delle valutazioni, le vulnerabilità sono sfruttabili da remoto, ma le informazioni disponibili non dimostrano che gli aggressori le stiano utilizzando attivamente.

Gli aggiornamenti devono essere affiancati da una revisione delle credenziali e della rete

Le organizzazioni dovrebbero portare le installazioni Android fuori dall'intervallo interessato distribuendo Bransys Android 11.00.00 o versioni successive, se è disponibile una release supportata adeguata. Anche le installazioni Bransys per iOS dovrebbero essere aggiornate alla versione 1.1.54 o successive.

Poiché due vulnerabilità riguardano credenziali incorporate, l'aggiornamento degli endpoint non dovrebbe essere considerato l'unica misura difensiva. Gli operatori delle flotte dovrebbero verificare se le credenziali MQTT o FTP esposte sono ancora valide e se sia necessario ruotare le credenziali backend. Non sono state pubblicate istruzioni specifiche per la rotazione né indicazioni di compromissione.

CISA raccomanda inoltre agli operatori di:

• Ridurre al minimo l'esposizione a internet dei servizi backend relativi agli ELD e delle apparecchiature dei sistemi di controllo.
• Collocare i sistemi operativi dietro firewall e separarli dalle reti aziendali.
• Utilizzare metodi di accesso remoto protetti, inclusa un'infrastruttura VPN mantenuta correttamente, quando la connettività remota è necessaria.
• Valutare l'impatto operativo prima di modificare le configurazioni di produzione.
• Applicare controlli di difesa in profondità e le indicazioni contenute in ICS-TIP-12-146-01B, Targeted Cyber Intrusion Detection and Mitigation Strategies.
• Esaminare le attività sospette tramite le procedure consolidate di risposta agli incidenti e segnalare a CISA le attività potenzialmente dannose.

I team di difesa dovrebbero esaminare i log di autenticazione MQTT e FTP alla ricerca di indirizzi di origine imprevisti, volumi insoliti di sessioni, letture massive o accessi incompatibili con il normale funzionamento della flotta. CISA non ha tuttavia pubblicato indicatori specifici per queste vulnerabilità, indirizzi IP dannosi, nomi di file o argomenti dei broker.

Le organizzazioni dovrebbero inoltre inventariare tutte le installazioni Android e iOS interessate. Aggiornare le applicazioni mobili senza esaminare l'infrastruttura MQTT e FTP condivisa potrebbe lasciare inosservate esposizioni pregresse, credenziali ancora attive o sessioni backend non autorizzate.