Tayvanlı bir video gözetim sistemleri ve IP kamera üreticisi olan GeoVision, son zamanlarda saldırganların ağ trafiğini durdurmasına ve ortadaki adam saldırılarını gerçekleştirmesine izin verebilecek kart ve parmak izi tarayıcılarını etkileyen dört kritik kusurdan üçünü yamaladı.
"Kötü niyetli saldırganlar ağ üzerinde kalıcılık kurabilir ve dahili kullanıcıları gözetleyebilir, verileri çalabilir - hiç tespit edilmeden," Acronisdedim. "Parmak izi verilerinizi evinize ve / veya kişisel cihazlarınıza girmek için yeniden kullanabilirler ve fotoğraflar, biyometrik verilere dayalı kimlik hırsızlığını sürdürmek için kötü niyetli aktörler tarafından kolayca yeniden kullanılabilir."
Kusurlar, Brezilya, ABD, Almanya, Tayvan ve Japonya'da çevrimiçi olarak keşfedilen 2,500'den fazla savunmasız cihazla birlikte uzaktan tehlikeye atılabilen diğer binlerce cihazın yanı sıra en az 6 cihaz ailesini etkiler.
İlk sorun, saldırganın arka kapıya varsayılan parolayı ("admin") kullanarak bir aygıta arka kapıdan erişmesine izin veren ve güvenlik açığından etkilenen aygıta (ör. Https: //ip.of.the) uzaktan oturum açmasına izin veren önceden belgelenmemiş bir kök parola ile ilgilidir. aygıt / isshd.htm).
İkinci bir kusur SSH yoluyla kimlik doğrulaması yapılırken sabit kodlu paylaşılan şifreleme özel anahtarlarının kullanılmasını içerirken, üçüncü bir güvenlik açığı cihazdaki sistem günlüklerine erişmeyi mümkün kılar (ör. Https: //ip.of.the.device/messages.txt adresinde) ve https: //ip.of.the.device/messages.old.txt) adresinde bulabilirsiniz.
Son olarak, firmware'de GeoVision'ın parmak izi okuyucularını etkileyen ve saldırganların cihazlarda yetkisiz kod çalıştırmasına izin veren bir arabellek taşması güvenlik açığı bulunmaktadır. Önceden kimlik doğrulaması gerektirmez. Daha da rahatsız edici bir şekilde, CVSS derecesi 10'dur ve bu da onu kritik bir kusur haline getirir.
Acronis, başlangıçta GeoVision'a geçen Ağustos ayında, ardından Eylül ve Aralık aylarında iki kez yaklaşarak SingCERT ile bulgularıyla temasa geçtiğini söyledi. Ancak bu ayın başlarına kadar, GeoVision arabellek taşması güvenlik açığını kapatmadan bırakırken üç kusur için (sürüm 1.22) düzeltmeler yayınlamadı.
- noksanlıkların üç hatalar için uyarılarının yayınlanan Tayvan'ın Bilgisayar Acil Durum Müdahale Ekibi (TWCERT), tarafından kabul edildi CVE-2020-3928 ,CVE-2020-3929 ve CVE-2020-3930 - ürün yazılımı düzeltmelerini ve yeni sürümün kullanılabilirliğini onaylar
Bunun yanı sıra, şirketin işlenmemiş bıraktığı dördüncü kritik uzaktan kod yürütme kusuru hakkındaki teknik bilgileri açıklamadan, saldırganların bellek yönetiminden sorumlu bellek yapılarının üzerine yazmak için savunmasız bir parametre kullanmasına izin verebileceğini söyleyebiliriz.
Kusur, belirli yapılardaki işaretçilerin üzerine yazarak saldırganların programın yürütme akışını kendi kötü amaçlı kodlarına yönlendirmesine ve farklı komutlar gerçekleştirmesine izin verir.
Açıklamalar hakkında yorum istemek için GeoVision'a ulaştık, ancak bu makalenin yayınlanmasından önce bir yanıt almadık.
Acronis CISO CISO Kevin Reed ve Güvenlik Araştırmacısı Alex Koshelev, "Saldırgan cihaz üzerinde tam kontrole sahip olduğunda, kendi kötü amaçlı yazılımlarını kurmakta özgürdür - bundan sonra onları ağdan çıkarmak neredeyse imkansız olacaktır." Dedi.
"Bazı satıcıların kritik güvenlik açıklarını düzeltmek için acele etmediklerini görmek gerçeküstü - ilk kaynak kodun düşük kalitesine ek olarak arka kapıların varlığı da söz konusu. IoT güvenliğinin kusurlu olduğunu gösteriyor ve her şirket bunu kullanmanın cihazlar onları uzun süren hafifletilmemiş risklere maruz bırakabilir. "