Las cámaras IoT populares necesitan parches para defenderse de ataques catastróficos

Al menos cinco modelos de cámaras EZVIZ Internet of Things (IoT) son vulnerables a un puñado de vulnerabilidades que podrían llevar a los actores de amenazas a acceder, descifrar y descargar el video de los dispositivos.

EZVIZ es una marca de seguridad para el hogar inteligente de hardware conectado a la nube que se utiliza en todo el mundo y ofrece docenas de modelos de cámaras de seguridad IoT. 

Como parte de su investigación en curso sobre la seguridad del hardware de IoT, los analistas de Bitdefender identificaron vulnerabilidades en al menos cinco modelos de cámaras EZVIZ, aunque el equipo agregó que también podría haber otros productos afectados: 

• CS-CV248 [20XXXXX72] – V5.2.1 compilación 180403
• CS-C6N-A0-1C2WFR [E1XXXXX79] – V5.3.0 compilación 201719
• CS-DB1C-A0-1E2W2FR [F1XXXXX52] – V5.3.0 compilación 211208
• CS-C6N-B0-1G2WF [G0XXXXX66] – v5.3.0 compilación 210731
• CS-C3W-A0-3H4WFRL [F4XXXXX93] – V5.3.5 compilación 22012

Primero, los investigadores de seguridad identificaron un error de desbordamiento de búfer basado en pila que podría conducir a la ejecución remota de código (CVE-2022-2471). Además, encontraron una vulnerabilidad de referencia de objeto directo inseguro en varios puntos finales de la API que podría permitir que un atacante cibernético tome el control de la cámara, y un tercer error remoto que permite que un atacante robe la clave de cifrado del video, agregaron los investigadores. 

Finalmente, una vulnerabilidad local, rastreada bajo CVE-2022-2472, permite que un atacante tome el control del dispositivo en serio. 

“Cuando se conectan en cadena, las vulnerabilidades descubiertas permiten a un atacante controlar de forma remota la cámara, descargar imágenes y descifrarlas”, dijo el Ciberseguridad de IoT agregó el equipo de investigación. “El uso de estas vulnerabilidades puede eludir la autenticación y potencialmente ejecutar código de forma remota, comprometiendo aún más la integridad de las cámaras afectadas”. 

EZVIZ comenzó a emitir actualizaciones de seguridad para las cámaras afectadas por el error de IoT a partir de junio, reveló Bitdefender.