Eine beliebte intelligente Gegensprechanlage und ein Bildtelefon des chinesischen Unternehmens Akuvox, das E11, ist mit mehr als einem Dutzend Schwachstellen gespickt, darunter ein kritischer Fehler, der eine nicht authentifizierte Remote-Code-Ausführung (RCE) ermöglicht.
These could allow malicious actors to access an organization's network, steal photos or video captured by the device, control the camera and microphone, or even lock or unlock doors.
The vulnerabilities were discovered and highlighted by security firm Claroty's Team82, which became aware of the device's weaknesses when they moved into an office where the E11 had already been installed.
Members of Team82's curiosity about the device turned into a full-blown investigation as they uncovered 13 vulnerabilities, which they divided into three categories based on the attack vector used.
The first two types can occur either through RCE within the local area network or remote activation of the E11's camera and microphone, allowing the attacker to collect and exfiltrate multimedia recordings. The third attack vector targets access to an external, insecure file transfer protocol (FTP) server, allowing the actor to download stored images and data.
Ein kritischer RCE-Bug im Akuvox 311
Was die am meisten auffälligen Fehler angeht, eine kritische Bedrohung – CVE-2023-0354, mit einem CVSS-Score von 9.1 – ermöglicht den Zugriff auf den E11-Webserver ohne Benutzerauthentifizierung, wodurch ein Angreifer möglicherweise einfachen Zugriff auf vertrauliche Informationen erhält.
"The Akuvox E11 Web server can be accessed without any user authentication, and this could allow an attacker to access sensitive information, as well as create and download packet captures with known default URLs," according to the Cybersecurity and Infrastructure Security Agency (CISA), which published an advisory about the bugs, including a Schwachstellenübersicht.
Eine weitere erwähnenswerte Schwachstelle (CVE-2023-0348, mit einem CVSS-Wert von 7.5) bezieht sich auf die mobile SmartPlus-App, die iOS- und Android-Benutzer herunterladen können, um mit dem E11 zu interagieren.
The core issue lies in the app's implementation of the open source Session Initiation Protocol (SIP) to enable communication between two or more participants over IP networks. The SIP server does not verify the authorization of SmartPlus users to connect to a particular E11, meaning any individual with the app installed can connect to any E11 connected to the Web — including those located behind a firewall.
"We tested this using the intercom at our lab and another one at the office entrance," according to the Claroty report. "Each intercom is associated with different accounts and different parties. We were, in fact, able to activate the camera and microphone by making a SIP call from the lab's account to the intercom at the door."
Akuvox-Sicherheitslücken bleiben ungepatcht
Team82 outlined their attempts to bring the vulnerabilities to the Akuvox's attention, beginning in January 2022, but after several outreach attempts, Claroty's account with the vendor was blocked. Team82 subsequently published a technical blog detailing the zero-day vulnerabilities and involved the CERT Coordination Center (CERT/CC) and CISA.
Organisationen, die die E11 verwenden, wird empfohlen, sie vom Internet zu trennen, bis die Schwachstellen behoben sind, oder auf andere Weise sicherzustellen, dass die Kamera keine sensiblen Informationen aufzeichnen kann.
Within the local area network, "organizations are advised to segment and isolate the Akuvox device from the rest of the enterprise network," according to the Claroty report. "Not only should the device reside on its own network segment, but communication to this segment should be limited to a minimal list of endpoints."
Fehler in Kameras und IoT-Geräten gibt es zuhauf
Eine Welt zunehmend vernetzter Geräte hat eine riesige Angriffsfläche für raffinierte Gegner.
Allein die Anzahl der Verbindungen zum industriellen Internet der Dinge (IoT) – ein Maß für die Anzahl der insgesamt eingesetzten IoT-Geräte – wird sich voraussichtlich von 36.8 Milliarden im Jahr 2025 auf 17.7 Milliarden im Jahr 2020 mehr als verdoppeln. laut Juniper Research.
Und während sich das National Institute of Standards and Technology (NIST) auf einen Standard für festgelegt hat Verschlüsselung der IoT-Kommunikation, bleiben viele Geräte anfällig und ungepatcht.
Akuvox ist das Neueste in einer langen Reihe von diesen, die in Bezug auf die Gerätesicherheit als stark mangelhaft befunden wurden. Beispielsweise war eine kritische RCE-Schwachstelle in IP-Videokameras von Hikvision letztes Jahr bekannt gegeben.
Und im vergangenen November ermöglichte eine Schwachstelle in einer Reihe beliebter digitaler Türöffnungssysteme, die von Aiphone angeboten werden, Hackern dies Durchbrechen der Zugangssysteme – einfach durch die Verwendung eines Mobilgeräts und eines Near-Field-Communication (NFC)-Tags.
- SEO-gestützte Content- und PR-Distribution. Holen Sie sich noch heute Verstärkung.
- Platoblockkette. Web3-Metaverse-Intelligenz. Wissen verstärkt. Hier zugreifen.
- Quelle: https://www.darkreading.com/cloud/unpatched-zero-day-bugs-smart-intercom-remote-eavesdropping
- :Ist
- $UP
- 1
- 2020
- 2022
- 7
- 8
- 9
- a
- Fähig
- Über uns
- Zugang
- Zugriff
- Nach
- Konto
- Trading Konten
- Aktivierung
- Akteure
- beratend
- Nach der
- Agentur
- Zulassen
- erlaubt
- allein
- bereits
- und
- und Infrastruktur
- androide
- Ein anderer
- App
- SIND
- Bereich
- AS
- damit verbundenen
- At
- Attacke
- Versuche
- Aufmerksamkeit
- Authentifizierung
- Genehmigung
- basierend
- BE
- Anfang
- hinter
- zwischen
- Milliarde
- verstopft
- Blog
- bringen
- Fehler
- Bugs
- by
- rufen Sie uns an!
- Kamera
- Kameras
- CAN
- fähig
- Captures
- Kategorien
- Center
- chinesisch
- CISA
- Code
- sammeln
- Kommunikation
- Unternehmen
- Bedenken
- Vernetz Dich
- Sie
- verbundene Geräte
- Verbindungen
- Smartgeräte App
- Koordination
- Kernbereich
- könnte
- erstellen
- erstellt
- kritischem
- Neugier
- Internet-Sicherheit
- Agentur für Cybersicherheit und Infrastruktursicherheit
- technische Daten
- Standard
- Einsatz
- Detaillierung
- Gerät
- Geräte
- anders
- digital
- entdeckt
- geteilt
- Von
- Türen
- doppelt
- herunterladen
- Dutzend
- jeder
- entweder
- ermöglichen
- gewährleisten
- Unternehmen
- Eingang
- Eintrag
- Äther (ETH)
- Sogar
- Ausführung
- erwartet
- extern
- Reichen Sie das
- Firewall
- Fest
- Vorname
- fixiert
- Aussichten für
- gefunden
- für
- Unterstützung
- Hacker
- Besondere
- http
- HTTPS
- Bilder
- Implementierung
- in
- Einschließlich
- zunehmend
- Krankengymnastik
- industriell
- Information
- Infrastruktur
- Instanz
- Institut
- interagieren
- Internet
- Internet der Dinge
- Untersuchung
- beteiligt
- iOS
- iot
- iot Geräte
- IP
- Problem
- IT
- SEINE
- Januar
- bekannt
- Labor
- Nachname
- neueste
- Limitiert
- Line
- Liste
- aus einer regionalen
- located
- Lang
- Making
- viele
- Bedeutung
- messen
- Mikrofon
- minimal
- Mobil
- App
- Mobilgerät
- mehr
- vor allem warme
- Multimedia
- National
- Netzwerk
- Netzwerke
- NFC
- nist
- November
- Anzahl
- of
- angeboten
- Office
- on
- EINEM
- XNUMXh geöffnet
- Open-Source-
- Organisation
- Organisationen
- Andernfalls
- skizzierte
- Reichweite
- besitzen
- Teilnehmer
- besondere
- Parteien
- Plato
- Datenintelligenz von Plato
- PlatoData
- Beliebt
- möglicherweise
- Protokoll
- veröffentlicht
- Einspielung vor
- bleiben
- entfernt
- berichten
- REST
- s
- Sicherheitdienst
- Segment
- empfindlich
- Modellreihe
- Sitzung
- "Settled"
- mehrere
- sollte
- einfach
- smart
- anspruchsvoll
- Quelle
- Stand
- Standard
- Normen
- gelagert
- Anschließend
- Systeme und Techniken
- TAG
- Ziele
- Technische
- Technologie
- zur Verbesserung der Gesundheitsgerechtigkeit
- Das
- ihr
- Diese
- Dritte
- Bedrohung
- nach drei
- Durch
- zu
- Gesamt
- privaten Transfer
- Turned
- Typen
- öffnen
- Mitglied
- Nutzer
- Verwendung
- Verkäufer
- überprüfen
- Video
- Sicherheitslücken
- Verwundbarkeit
- Verwundbar
- Netz
- Web-Server
- GUT
- welche
- während
- mit
- .
- ohne
- weltweit wie ausgehandelt und gekauft ausgeführt wird.
- Zephyrnet
- Zero-Day-Schwachstellen