Priljubljen pametni domofon in videotelefon kitajskega podjetja Akuvox, E11, je prepreden z več kot ducatom ranljivosti, vključno s kritičnim hroščem, ki omogoča nepreverjeno oddaljeno izvajanje kode (RCE).
Ti lahko zlonamernim akterjem omogočijo dostop do omrežja organizacije, krajo fotografij ali videoposnetkov, ki jih je posnela naprava, nadzor nad kamero in mikrofonom ali celo zaklepanje ali odklepanje vrat.
Ranljivosti je odkrilo in izpostavilo varnostno podjetje Claroty's Team82, ki se je zavedlo slabosti naprave, ko so se preselili v pisarno, kjer je bil E11 že nameščen.
Radovednost članov Team82 o napravi se je spremenila v celovito preiskavo, ko so odkrili 13 ranljivosti, ki so jih razdelili v tri kategorije glede na uporabljeni vektor napada.
Prvi dve vrsti se lahko zgodita prek RCE v lokalnem omrežju ali oddaljenega aktiviranja kamere in mikrofona E11, kar napadalcu omogoča zbiranje in izločanje večpredstavnostnih posnetkov. Tretji napadalni vektor je namenjen dostopu do zunanjega, nevarnega strežnika protokola za prenos datotek (FTP), ki igralcu omogoča prenos shranjenih slik in podatkov.
Kritična napaka RCE v Akuvox 311
Kar zadeva hrošče, ki najbolj izstopajo, ena kritična grožnja – CVE-2023-0354, z oceno CVSS 9.1 — omogoča dostop do spletnega strežnika E11 brez kakršnega koli preverjanja pristnosti uporabnika, kar lahko napadalcu omogoči preprost dostop do občutljivih informacij.
"Do spletnega strežnika Akuvox E11 je mogoče dostopati brez kakršnega koli preverjanja pristnosti uporabnika, kar bi lahko napadalcu omogočilo dostop do občutljivih informacij, pa tudi ustvarjanje in prenos zajemov paketov z znanimi privzetimi URL-ji," glede na Agencijo za kibernetsko varnost in varnost infrastrukture (CISA). , ki je objavilo svetovanje o hroščih, vključno z a pregled ranljivosti.
Še ena ranljivost, ki jo je treba upoštevati (CVE-2023-0348, z oceno CVSS 7.5) zadeva mobilno aplikacijo SmartPlus, ki jo lahko prenesejo uporabniki iOS in Android za interakcijo z E11.
Bistvena težava je v aplikaciji odprtokodnega protokola za začetek seje (SIP), ki omogoča komunikacijo med dvema ali več udeleženci prek omrežij IP. Strežnik SIP ne preverja avtorizacije uporabnikov SmartPlus za povezavo z določenim E11, kar pomeni, da se lahko vsak posameznik z nameščeno aplikacijo poveže s katerim koli E11, ki je povezan s spletom - vključno s tistimi, ki so nameščeni za požarnim zidom.
"To smo preizkusili z uporabo domofona v našem laboratoriju in še enega na vhodu v pisarno," je zapisano v poročilu Claroty. »Vsak domofon je povezan z različnimi računi in različnimi strankami. Pravzaprav smo lahko aktivirali kamero in mikrofon s klicem SIP iz laboratorijskega računa na domofon na vratih.«
Varnostne ranljivosti Akuvoxa ostajajo nepopravljene
Team82 je orisal svoje poskuse, da bi na ranljivosti opozorili Akuvox, z začetkom januarja 2022, vendar je bil po več poskusih dosega Clarotyjev račun pri prodajalcu blokiran. Team82 je nato objavil tehnični blog s podrobnostmi o ranljivostih ničelnega dne in vključil koordinacijski center CERT (CERT/CC) in CISA.
Organizacijam, ki uporabljajo E11, svetujemo, da jo prekinejo z interneta, dokler ranljivosti niso odpravljene, ali da kako drugače zagotovijo, da kamera ne more snemati občutljivih informacij.
Znotraj lokalnega omrežja se "organizacijam svetuje, da segmentirajo in izolirajo napravo Akuvox od ostalega omrežja podjetja," glede na poročilo Claroty. "Ne samo, da bi morala biti naprava v lastnem segmentu omrežja, komunikacija s tem segmentom bi morala biti omejena na minimalen seznam končnih točk."
Napak v kamerah in napravah interneta stvari je veliko
Svet vse bolj povezanih naprav je ustvaril a velika napadalna površina za prefinjene nasprotnike.
Samo število povezav industrijskega interneta stvari (IoT) – merilo števila vseh nameščenih naprav IoT – naj bi se leta 36.8 več kot podvojilo na 2025 milijarde, s 17.7 milijarde leta 2020, glede na Juniper Research.
Medtem ko se je Nacionalni inštitut za standarde in tehnologijo (NIST) odločil za standard za šifriranje komunikacij IoT, veliko naprav ostaja ranljivih in nepopravljenih.
Akuvox je najnovejši v dolgi vrsti teh, za katere je bilo ugotovljeno, da so zelo pomanjkljivi, ko gre za varnost naprave. Na primer, kritična ranljivost RCE v video kamerah Hikvision IP je bila razkrito lani.
In novembra lani je ranljivost v seriji priljubljenih digitalnih sistemov za vhodna vrata, ki jih ponuja Aiphone, hekerjem omogočila kršijo vstopne sisteme — preprosto z uporabo mobilne naprave in oznake za komunikacijo bližnjega polja (NFC).
- Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
- Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. Dostopite tukaj.
- vir: https://www.darkreading.com/cloud/unpatched-zero-day-bugs-smart-intercom-remote-eavesdropping
- : je
- $GOR
- 1
- 2020
- 2022
- 7
- 8
- 9
- a
- Sposobna
- O meni
- dostop
- dostopna
- Po
- Račun
- računi
- Aktiviranje
- akterji
- svetovanje
- po
- agencija
- Dovoli
- omogoča
- sam
- že
- in
- in infrastrukturo
- Android
- Še ena
- aplikacija
- SE
- OBMOČJE
- AS
- povezan
- At
- napad
- Poskusi
- pozornosti
- Preverjanje pristnosti
- pooblastilo
- temeljijo
- BE
- Začetek
- zadaj
- med
- Billion
- blokirana
- Blog
- prinašajo
- Bug
- hrošči
- by
- klic
- kamera
- kamere
- CAN
- lahko
- ujame
- kategorije
- center
- kitajski
- Koda
- zbiranje
- Komunikacija
- podjetje
- Skrbi
- Connect
- povezane
- povezave
- nadzor
- usklajevanje
- Core
- bi
- ustvarjajo
- ustvaril
- kritično
- radovednost
- Cybersecurity
- datum
- privzeto
- razporejeni
- Podrobnosti
- naprava
- naprave
- drugačen
- digitalni
- odkril
- deljeno
- By
- vrata
- podvojila
- prenesi
- ducata
- vsak
- bodisi
- omogočajo
- zagotovitev
- Podjetje
- Vpis
- Tudi
- izvedba
- Pričakuje
- zunanja
- file
- požarni zid
- Firm
- prva
- Všita
- za
- je pokazala,
- iz
- Giving
- hekerji
- Poudarjeno
- http
- HTTPS
- slike
- Izvajanje
- in
- Vključno
- vedno
- individualna
- industrijske
- Podatki
- Infrastruktura
- nameščen
- primer
- Inštitut
- interakcijo
- Internet
- Internet stvari
- preiskava
- vključeni
- iOS
- Internet stvari
- naprave
- IP
- vprašanje
- IT
- ITS
- januar
- znano
- lab
- Zadnja
- Zadnji
- Leži
- Limited
- vrstica
- Seznam
- lokalna
- nahaja
- Long
- Izdelava
- več
- kar pomeni,
- merjenje
- mikrofon
- minimalna
- Mobilni
- mobilna aplikacija
- Mobilna naprava
- več
- Najbolj
- multimedia
- nacionalni
- mreža
- omrežij
- NFC
- nst
- november
- Številka
- of
- ponujen
- Office
- on
- ONE
- odprite
- open source
- Organizacija
- organizacije
- drugače
- opisano
- doseg
- lastne
- Udeleženci
- zlasti
- Stranke
- platon
- Platonova podatkovna inteligenca
- PlatoData
- Popular
- potencialno
- protokol
- objavljeno
- Snemanje
- ostajajo
- daljinsko
- poročilo
- REST
- s
- varnost
- Segment
- občutljiva
- Serija
- Zasedanje
- Rešeno
- več
- shouldnt
- preprosto
- pametna
- prefinjeno
- vir
- stati
- standardna
- standardi
- shranjeni
- Kasneje
- sistemi
- TAG
- Cilji
- tehnični
- Tehnologija
- da
- O
- njihove
- te
- stvari
- tretja
- Grožnja
- 3
- skozi
- do
- Skupaj za plačilo
- prenos
- Obrnjen
- Vrste
- odklepanje
- uporabnik
- Uporabniki
- Uporaben
- Prodajalec
- preverjanje
- Video
- Ranljivosti
- ranljivost
- Ranljivi
- web
- spletni strežnik
- Dobro
- ki
- medtem
- z
- v
- brez
- svet
- zefirnet
- zero-day ranljivosti