A kínai Akuvox cég népszerű intelligens kaputelefonja és videotelefonja, az E11 több mint egy tucat sebezhetőséget rejt magában, köztük egy kritikus hibát, amely lehetővé teszi a hitelesítés nélküli távoli kódvégrehajtást (RCE).
Ezek lehetővé tehetik a rosszindulatú szereplők számára, hogy hozzáférjenek egy szervezet hálózatához, ellopják az eszközzel rögzített fényképeket vagy videókat, vezéreljék a kamerát és a mikrofont, vagy akár zárják vagy feloldják az ajtókat.
A sebezhetőségeket a Claroty's Team82 biztonsági cég fedezte fel és emelte ki, amely akkor szerzett tudomást az eszköz gyengeségeiről, amikor beköltöztek egy olyan irodába, ahol már telepítették az E11-et.
A Team82-nek az eszköz iránti kíváncsisága egy teljes körű nyomozásba torkollott, mivel 13 sebezhetőséget tártak fel, amelyeket három kategóriába soroltak a használt támadási vektor alapján.
Az első két típus előfordulhat a helyi hálózaton belüli RCE-n keresztül, vagy az E11 kamerájának és mikrofonjának távoli aktiválásával, lehetővé téve a támadó számára, hogy összegyűjtse és kiszűrje a multimédiás felvételeket. A harmadik támadási vektor egy külső, nem biztonságos fájlátviteli protokoll (FTP) szerverhez való hozzáférést célozza meg, lehetővé téve a szereplő számára a tárolt képek és adatok letöltését.
Kritikus RCE hiba az Akuvox 311-ben
Ami a leginkább szembetűnő hibákat illeti, egy kritikus fenyegetés – CVE-2023 0354-, 9.1-es CVSS-pontszámmal – lehetővé teszi az E11 webszerverhez való hozzáférést felhasználói hitelesítés nélkül, így a támadó könnyen hozzáférhet az érzékeny információkhoz.
A Cybersecurity and Infrastructure Security Agency (CISA) szerint az Akuvox E11 webszerver felhasználói hitelesítés nélkül is elérhető, és ez lehetővé teheti a támadók számára, hogy hozzáférjenek érzékeny információkhoz, valamint csomagrögzítéseket készítsenek és töltsenek le ismert alapértelmezett URL-címekkel. , amely egy tanácsadót tett közzé a hibákkal kapcsolatban, beleértve a sebezhetőség áttekintése.
Egy másik sebezhetőség (CVE-2023 0348-, 7.5 CVSS-pontszámmal) a SmartPlus mobilalkalmazásra vonatkozik, amelyet az iOS és az Android felhasználók letölthetnek az E11-el való interakcióhoz.
A fő probléma a nyílt forráskódú Session Initiation Protocol (SIP) alkalmazásban rejlik, amely lehetővé teszi a kommunikációt két vagy több résztvevő között IP-hálózatokon keresztül. A SIP-szerver nem ellenőrzi a SmartPlus-felhasználók jogosultságát, hogy egy adott E11-hez kapcsolódjanak, ami azt jelenti, hogy az alkalmazással rendelkező bármely személy csatlakozhat bármely, az internethez csatlakozó E11-hez – beleértve a tűzfal mögött lévőket is.
"Ezt a laborunkban lévő kaputelefon segítségével teszteltük, és egy másikat az iroda bejáratánál" - áll a Claroty-jelentésben. "Minden kaputelefon más-más fiókhoz és különböző felekhez van társítva. Valójában úgy tudtuk aktiválni a kamerát és a mikrofont, hogy SIP-hívást kezdeményeztünk a labor fiókjából az ajtóban lévő kaputelefonba."
Az Akuvox biztonsági rései továbbra is kijavítatlanok
A Team82 felvázolta, hogy 2022 januárjától kezdődően megpróbálták felhívni az Akuvox figyelmét a sebezhetőségekre, de többszöri tájékoztatási kísérlet után Claroty fiókját az eladónál blokkolták. A Team82 ezt követően közzétett egy technikai blogot, amely részletezte a nulladik napi sebezhetőségeket, és bevonta a CERT Koordinációs Központot (CERT/CC) és a CISA-t.
Az E11-et használó szervezeteknek azt tanácsoljuk, hogy a sebezhetőségek kijavításáig válassza le az internetről, vagy más módon gondoskodjanak arról, hogy a kamera ne tudjon érzékeny információkat rögzíteni.
A Claroty jelentés szerint a helyi hálózaton belül "a szervezeteknek azt tanácsoljuk, hogy szegmentálják és izolálják az Akuvox eszközt a vállalati hálózat többi részétől". "Nemcsak az eszköznek a saját hálózati szegmensén kell lennie, hanem a szegmens felé irányuló kommunikációt a végpontok minimális listájára kell korlátozni."
A kamerák és az IoT-eszközök hibái bővelkednek
Az egyre inkább összekapcsolt eszközök világa megteremtette a hatalmas támadási felület kifinomult ellenfelek számára.
Önmagában az ipari dolgok internetéhez (IoT) kapcsolódó kapcsolatok száma – amely az összes telepített IoT-eszköz számának mértéke – várhatóan több mint kétszeresére, 36.8 milliárdra nő 2025-ben, szemben a 17.7-as 2020 milliárddal. a Juniper Research szerint.
És miközben a Nemzeti Szabványügyi és Technológiai Intézet (NIST) megállapodott egy szabványban az IoT-kommunikáció titkosítása, sok eszköz továbbra is sebezhető és javítatlan.
Az Akuvox ezek közül a legújabb a hosszú sorból, amelyről komoly hiányosságokat találtak az eszközbiztonság terén. Például a Hikvision IP-videokamerák kritikus RCE-sebezhetősége volt tavaly hozták nyilvánosságra.
Tavaly novemberben pedig az Aiphone által kínált számos népszerű digitális ajtó-bejárati rendszer egy biztonsági rése lehetővé tette a hackerek számára, hogy megsértik a beléptető rendszereket – egyszerűen egy mobileszköz és egy közeli hatótávolságú kommunikációs (NFC) címke használatával.
- SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
- Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
- Forrás: https://www.darkreading.com/cloud/unpatched-zero-day-bugs-smart-intercom-remote-eavesdropping
- :is
- $ UP
- 1
- 2020
- 2022
- 7
- 8
- 9
- a
- Képes
- Rólunk
- hozzáférés
- igénybe vett
- Szerint
- Fiók
- Fiókok
- Az aktiválás
- szereplők
- tanácsadó
- Után
- ügynökség
- lehetővé téve
- lehetővé teszi, hogy
- kizárólag
- már
- és a
- és az infrastruktúra
- android
- Másik
- app
- VANNAK
- TERÜLET
- AS
- társult
- At
- támadás
- Kísérletek
- figyelem
- Hitelesítés
- meghatalmazás
- alapján
- BE
- Kezdet
- mögött
- között
- Billió
- zárolt
- Blog
- hoz
- Bogár
- bogarak
- by
- hívás
- szoba
- kamerák
- TUD
- képes
- fogások
- kategóriák
- Központ
- kínai
- CISA
- kód
- gyűjt
- közlés
- vállalat
- aggodalmak
- Csatlakozás
- összefüggő
- Csatlakoztatott eszközöket
- kapcsolatok
- ellenőrzés
- összehangolás
- Mag
- tudott
- teremt
- készítette
- kritikai
- kíváncsiság
- Kiberbiztonság
- Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség
- dátum
- alapértelmezett
- telepített
- részletezve
- eszköz
- Eszközök
- különböző
- digitális
- felfedezett
- megosztott
- Által
- ajtók
- kétszeresére
- letöltés
- tucat
- minden
- bármelyik
- lehetővé
- biztosítására
- Vállalkozás
- bejárat
- belépés
- Eter (ETH)
- Még
- végrehajtás
- várható
- külső
- filé
- tűzfal
- Cég
- vezetéknév
- rögzített
- A
- talált
- ból ből
- Giving
- hackerek
- Kiemelt
- http
- HTTPS
- képek
- végrehajtás
- in
- Beleértve
- egyre inkább
- egyéni
- ipari
- információ
- Infrastruktúra
- példa
- Intézet
- kölcsönhatásba
- Internet
- internet a dolgok
- vizsgálat
- részt
- iOS
- tárgyak internete
- iot eszközök
- IP
- kérdés
- IT
- ITS
- január
- ismert
- labor
- keresztnév
- legutolsó
- Korlátozott
- vonal
- Lista
- helyi
- található
- Hosszú
- Gyártás
- sok
- jelenti
- intézkedés
- mikrofon
- minimális
- Mobil
- Mobil alkalmazás
- mobil eszköz
- több
- a legtöbb
- multimédia
- nemzeti
- hálózat
- hálózatok
- NFC
- nst
- november
- szám
- of
- felajánlott
- Office
- on
- ONE
- nyitva
- nyílt forráskódú
- szervezet
- szervezetek
- másképp
- vázolt
- megkereső
- saját
- résztvevők
- különös
- fél
- Plató
- Platón adatintelligencia
- PlatoData
- Népszerű
- potenciálisan
- protokoll
- közzétett
- felvétel
- marad
- távoli
- jelentést
- REST
- s
- biztonság
- részes
- érzékeny
- Series of
- ülés
- telepedett
- számos
- kellene
- egyszerűen
- okos
- kifinomult
- forrás
- állvány
- standard
- szabványok
- memorizált
- Később
- Systems
- TAG
- célok
- Műszaki
- Technológia
- hogy
- A
- azok
- Ezek
- dolgok
- Harmadik
- fenyegetés
- három
- Keresztül
- nak nek
- Végösszeg
- átruházás
- Fordult
- típusok
- kinyit
- használó
- Felhasználók
- kihasználva
- eladó
- ellenőrzése
- videó
- sérülékenységek
- sebezhetőség
- Sebezhető
- háló
- webszerver
- JÓL
- ami
- míg
- val vel
- belül
- nélkül
- világ
- zephyrnet
- nulladik napi sebezhetőség