Le popolari videocamere IoT necessitano di patch per respingere attacchi catastrofici

Almeno cinque modelli di telecamere EZVIZ Internet of Things (IoT) sono vulnerabili a una serie di vulnerabilità che potrebbero portare gli autori delle minacce ad accedere, decodificare e scaricare il video dai dispositivi.

EZVIZ è un marchio di sicurezza domestica intelligente di hardware connesso al cloud utilizzato in tutto il mondo, che offre decine di modelli di telecamere di sicurezza IoT. 

Nell'ambito della loro ricerca in corso sulla sicurezza hardware IoT, gli analisti di Bitdefender hanno identificato vulnerabilità in almeno cinque modelli di fotocamera EZVIZ, sebbene il team abbia aggiunto che potrebbero esserci anche altri prodotti interessati: 

• CS-CV248 [20XXXXX72] – V5.2.1 build 180403
• CS-C6N-A0-1C2WFR [E1XXXXX79] – V5.3.0 build 201719
• CS-DB1C-A0-1E2W2FR [F1XXXXX52] – V5.3.0 build 211208
• CS-C6N-B0-1G2WF [G0XXXXX66] – v5.3.0 build 210731
• CS-C3W-A0-3H4WFRL [F4XXXXX93] – V5.3.5 build 22012

Innanzitutto, i ricercatori sulla sicurezza hanno identificato un bug di overflow del buffer basato sullo stack che potrebbe portare all'esecuzione di codice in modalità remota (CVE-2022-2471). Inoltre, hanno trovato una vulnerabilità non sicura di riferimento diretto agli oggetti su diversi endpoint API che potrebbe consentire a un cyberattaccante di prendere il controllo della telecamera e un terzo bug remoto che consente a un utente malintenzionato di rubare la chiave di crittografia per il video, hanno aggiunto i ricercatori. 

Infine, una vulnerabilità locale, tracciata sotto CVE-2022-2472, consente a un utente malintenzionato di prendere seriamente il controllo del dispositivo. 

"Se collegate a catena, le vulnerabilità scoperte consentono a un utente malintenzionato di controllare in remoto la fotocamera, scaricare immagini e decrittografarle", afferma il Sicurezza informatica dell'IoT ha aggiunto il gruppo di ricerca. “L’uso di queste vulnerabilità può aggirare l’autenticazione e potenzialmente eseguire codice in remoto, compromettendo ulteriormente l’integrità delle telecamere interessate”. 

EZVIZ ha iniziato a rilasciare aggiornamenti di sicurezza per le telecamere interessate dal Bug dell'IoT a partire da giugno, ha annunciato Bitdefender.