Ten minste vijf modellen EZVIZ Internet of Things (IoT)-camera's zijn kwetsbaar voor een handvol kwetsbaarheden die ertoe kunnen leiden dat bedreigingsactoren toegang krijgen tot de videobeelden van de apparaten, deze ontsleutelen en downloaden.
EZVIZ is een smart home security-merk van cloud-verbonden hardware dat over de hele wereld wordt gebruikt en tientallen IoT-beveiligingscameramodellen aanbiedt.
Als onderdeel van hun lopende onderzoek naar IoT-hardwarebeveiliging hebben analisten bij Bitdefender kwetsbaarheden geïdentificeerd in ten minste vijf EZVIZ-cameramodellen, hoewel het team eraan toevoegde dat er ook andere getroffen producten zouden kunnen zijn:
- CS-CV248 [20XXXX72] – V5.2.1 build 180403
- CS-C6N-A0-1C2WFR [E1XXXXX79] – V5.3.0 bouwjaar 201719
- CS-DB1C-A0-1E2W2FR [F1XXXXX52] – V5.3.0 build-211208
- CS-C6N-B0-1G2WF [G0XXXXX66] – v5.3.0 build 210731
- CS-C3W-A0-3H4WFRL [F4XXXXX93] – V5.3.5 bouwjaar 22012
Ten eerste identificeerden de beveiligingsonderzoekers een stack-gebaseerde bufferoverflow-bug die zou kunnen leiden tot uitvoering van code op afstand (CVE-2022-2471). Bovendien vonden ze een onveilige kwetsbaarheid voor directe objectreferentie op verschillende API-eindpunten waardoor een cyberaanvaller de controle over de camera kon overnemen, en een derde externe bug waardoor een aanvaller de coderingssleutel voor de video kon stelen, voegde de onderzoekers eraan toe.
Ten slotte zorgt een lokale kwetsbaarheid, gevolgd onder CVE-2022-2472, ervoor dat een aanvaller het apparaat serieus kan overnemen.
“Wanneer ze in serie worden geschakeld, kunnen de ontdekte kwetsbaarheden een aanvaller de camera op afstand laten besturen, beelden downloaden en ontsleutelen”, aldus de woordvoerder. IoT-cyberbeveiliging onderzoeksteam toegevoegd. “Het gebruik van deze kwetsbaarheden kan authenticatie omzeilen en mogelijk code op afstand uitvoeren, waardoor de integriteit van de getroffen camera’s verder in gevaar komt.”
EZVIZ is begonnen met het uitbrengen van beveiligingsupdates voor de camera's die getroffen zijn door de IoT-bug vanaf juni maakte Bitdefender bekend.
