Les caméras IoT populaires doivent être corrigées pour repousser les attaques catastrophiques

Au moins cinq modèles de caméras Internet des objets (IoT) EZVIZ sont vulnérables à une poignée de vulnérabilités qui pourraient conduire les acteurs malveillants à accéder, à déchiffrer et à télécharger la vidéo à partir des appareils.

EZVIZ est une marque de matériel de sécurité domestique intelligent connecté au cloud utilisée dans le monde entier, proposant des dizaines de modèles de caméras de sécurité IoT. 

Dans le cadre de leurs recherches en cours sur la sécurité du matériel IoT, les analystes de Bitdefender ont identifié des vulnérabilités dans au moins cinq modèles de caméras EZVIZ, bien que l'équipe ait ajouté que d'autres produits pourraient également être concernés : 

• CS-CV248 [20XXXXX72] – V5.2.1 version 180403
• CS-C6N-A0-1C2WFR [E1XXXXX79] – V5.3.0 version 201719
• CS-DB1C-A0-1E2W2FR [F1XXXXX52] – V5.3.0 version 211208
• CS-C6N-B0-1G2WF [G0XXXXX66] – v5.3.0 version 210731
• CS-C3W-A0-3H4WFRL [F4XXXXX93] – V5.3.5 version 22012

Tout d’abord, les chercheurs en sécurité ont identifié un bug de dépassement de tampon basé sur la pile qui pourrait conduire à l’exécution de code à distance (CVE-2022-2471). En outre, ils ont découvert une vulnérabilité de référence d'objet directe non sécurisée au niveau de plusieurs points de terminaison d'API qui pourrait permettre à un cyberattaquant de prendre le contrôle de la caméra, ainsi qu'un troisième bug à distance qui permet à un attaquant de voler la clé de cryptage de la vidéo, ont ajouté les chercheurs. 

Enfin, une vulnérabilité locale, repérée sous CVE-2022-2472, permet à un attaquant de s'emparer sérieusement de l'appareil. 

"Lorsqu'elles sont connectées en série, les vulnérabilités découvertes permettent à un attaquant de contrôler à distance la caméra, de télécharger des images et de les décrypter", explique le rapport. Cybersécurité de l'IoT » a ajouté l’équipe de recherche. "L'utilisation de ces vulnérabilités peut contourner l'authentification et potentiellement exécuter du code à distance, compromettant encore davantage l'intégrité des caméras concernées." 

EZVIZ a commencé à publier des mises à jour de sécurité pour les caméras affectées par le Bogue de l'IoT à partir de juin, a révélé Bitdefender.