En populær smart intercom og videotelefon fra det kinesiske selskapet Akuvox, E11, er full av mer enn et dusin sårbarheter, inkludert en kritisk feil som tillater uautentisert ekstern kjøring av kode (RCE).
Disse kan tillate ondsinnede aktører å få tilgang til en organisasjons nettverk, stjele bilder eller video tatt av enheten, kontrollere kameraet og mikrofonen, eller til og med låse eller låse opp dører.
Sårbarhetene ble oppdaget og fremhevet av sikkerhetsfirmaet Claroty's Team82, som ble klar over enhetens svakheter da de flyttet inn på et kontor hvor E11 allerede var installert.
Medlemmer av Team82s nysgjerrighet rundt enheten ble til en omfattende etterforskning da de avdekket 13 sårbarheter, som de delte inn i tre kategorier basert på angrepsvektoren som ble brukt.
De to første typene kan oppstå enten gjennom RCE innenfor det lokale nettverket eller ekstern aktivering av E11s kamera og mikrofon, slik at angriperen kan samle inn og eksfiltrere multimedieopptak. Den tredje angrepsvektoren retter seg mot tilgang til en ekstern, usikker filoverføringsprotokoll-server (FTP), som lar skuespilleren laste ned lagrede bilder og data.
En kritisk RCE-feil i Akuvox 311
Når det gjelder feil som skiller seg mest ut, én kritisk trussel – CVE-2023-0354, med en CVSS-score på 9.1 — lar E11-nettserveren få tilgang uten brukerautentisering, noe som potensielt gir en angriper enkel tilgang til sensitiv informasjon.
"Akuvox E11-nettserveren kan nås uten brukerautentisering, og dette kan tillate en angriper å få tilgang til sensitiv informasjon, samt opprette og laste ned pakkefangst med kjente standard URL-er," ifølge Cybersecurity and Infrastructure Security Agency (CISA) , som publiserte en veiledning om feilene, inkludert en sårbarhetsoversikt.
En annen sårbarhet å merke seg (CVE-2023-0348, med en CVSS-score på 7.5) gjelder SmartPlus-mobilappen som iOS- og Android-brukere kan laste ned for å samhandle med E11.
Kjerneproblemet ligger i appens implementering av åpen kildekode Session Initiation Protocol (SIP) for å muliggjøre kommunikasjon mellom to eller flere deltakere over IP-nettverk. SIP-serveren bekrefter ikke autorisasjonen til SmartPlus-brukere til å koble til en bestemt E11, noe som betyr at enhver person med appen installert kan koble til en hvilken som helst E11 koblet til nettet – inkludert de som er plassert bak en brannmur.
"Vi testet dette ved hjelp av intercom på laboratoriet vårt og en annen ved kontorinngangen," ifølge Claroty-rapporten. "Hvert intercom er knyttet til forskjellige kontoer og forskjellige parter. Vi var faktisk i stand til å aktivere kameraet og mikrofonen ved å foreta et SIP-anrop fra laboratoriets konto til intercomen ved døren."
Akuvox sikkerhetssårbarheter forblir uopprettet
Team82 skisserte sine forsøk på å bringe Akuvox oppmerksomhet til sårbarhetene, fra januar 2022, men etter flere oppsøkende forsøk ble Clarotys konto hos leverandøren blokkert. Team82 publiserte deretter en teknisk blogg som beskriver nulldagssårbarhetene og involverte CERT Coordination Center (CERT/CC) og CISA.
Organisasjoner som bruker E11 anbefales å koble den fra Internett til sikkerhetsproblemene er fikset, eller på annen måte sikre at kameraet ikke er i stand til å ta opp sensitiv informasjon.
Innenfor det lokale nettverket "rådes organisasjoner til å segmentere og isolere Akuvox-enheten fra resten av bedriftsnettverket," ifølge Claroty-rapporten. "Ikke bare skal enheten ligge på sitt eget nettverkssegment, men kommunikasjon til dette segmentet bør begrenses til en minimal liste over endepunkter."
Det er mange feil i kameraer og IoT-enheter
En verden av stadig mer tilkoblede enheter har skapt en stor angrepsflate for sofistikerte motstandere.
Antall industrielle internettforbindelser (IoT) alene – et mål på antall totale IoT-enheter som er distribuert – forventes å mer enn dobles til 36.8 milliarder i 2025, opp fra 17.7 milliarder i 2020, ifølge Juniper Research.
Og mens National Institute of Standards and Technology (NIST) har lagt seg på en standard for kryptering av IoT-kommunikasjon, forblir mange enheter sårbare og uoppdaterte.
Akuvox er den siste i en lang rekke av disse som manglet sterkt når det kommer til enhetssikkerhet. For eksempel var en kritisk RCE-sårbarhet i Hikvision IP-videokameraer avslørt i fjor.
Og i november i fjor tillot en sårbarhet i en serie populære digitale dørinngangssystemer tilbudt av Aiphone hackere å bryter med inngangssystemene — ganske enkelt ved å bruke en mobilenhet og en NFC-kode (nærfeltskommunikasjon).
- SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
- Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
- kilde: https://www.darkreading.com/cloud/unpatched-zero-day-bugs-smart-intercom-remote-eavesdropping
- :er
- $OPP
- 1
- 2020
- 2022
- 7
- 8
- 9
- a
- I stand
- Om oss
- adgang
- aksesseres
- Ifølge
- Logg inn
- kontoer
- Aktivering
- aktører
- rådgivende
- Etter
- byrå
- tillate
- tillater
- alene
- allerede
- og
- og infrastruktur
- android
- En annen
- app
- ER
- AREA
- AS
- assosiert
- At
- angripe
- forsøk
- oppmerksomhet
- Autentisering
- autorisasjon
- basert
- BE
- Begynnelsen
- bak
- mellom
- Milliarder
- blokkert
- Blogg
- bringe
- Bug
- bugs
- by
- ring
- rom
- kameraer
- CAN
- stand
- fanger
- kategorier
- sentrum
- Kinesisk
- CISA
- kode
- samle
- Kommunikasjon
- Selskapet
- bekymringer
- Koble
- tilkoblet
- Tilkoblede enheter
- Tilkoblinger
- kontroll
- samordning
- Kjerne
- kunne
- skape
- opprettet
- kritisk
- nysgjerrighet
- Cybersecurity
- Cybersecurity and Infrastructure Security Agency
- dato
- Misligholde
- utplassert
- detaljering
- enhet
- Enheter
- forskjellig
- digitalt
- oppdaget
- Divided
- Av
- dører
- dobbelt
- nedlasting
- dusin
- hver enkelt
- enten
- muliggjøre
- sikre
- Enterprise
- inngang
- entry
- Eter (ETH)
- Selv
- gjennomføring
- forventet
- utvendig
- filet
- brannmur
- Firm
- Først
- fikset
- Til
- funnet
- fra
- Giving
- hackere
- Fremhevet
- http
- HTTPS
- bilder
- gjennomføring
- in
- Inkludert
- stadig
- individuelt
- industriell
- informasjon
- Infrastruktur
- f.eks
- Institute
- samhandle
- Internet
- Internett av ting
- etterforskning
- involvert
- iOS
- IOT
- Iiot enheter
- IP
- utstedelse
- IT
- DET ER
- Januar
- kjent
- lab
- Siste
- siste
- Begrenset
- linje
- Liste
- lokal
- ligger
- Lang
- Making
- mange
- betyr
- måle
- mikrofon
- minimal
- Mobil
- Mobilapp
- mobilenhet
- mer
- mest
- multimedia
- nasjonal
- nettverk
- nettverk
- NFC
- nst
- November
- Antall
- of
- tilbudt
- Office
- on
- ONE
- åpen
- åpen kildekode
- organisasjon
- organisasjoner
- ellers
- skissert
- oppsøk
- egen
- deltakere
- Spesielt
- parter
- plato
- Platon Data Intelligence
- PlatonData
- Populær
- potensielt
- protokollen
- publisert
- innspilling
- forbli
- fjernkontroll
- rapporterer
- REST
- s
- sikkerhet
- segmentet
- sensitive
- Serien
- Session
- Bosatte seg
- flere
- bør
- ganske enkelt
- Smart
- sofistikert
- kilde
- stå
- Standard
- standarder
- lagret
- I ettertid
- Systemer
- TAG
- mål
- Teknisk
- Teknologi
- Det
- De
- deres
- Disse
- ting
- Tredje
- trussel
- tre
- Gjennom
- til
- Totalt
- overføre
- snudde
- typer
- låse opp
- Bruker
- Brukere
- utnytte
- leverandør
- verifisere
- video
- Sikkerhetsproblemer
- sårbarhet
- Sårbar
- web
- webserveren
- VI VIL
- hvilken
- mens
- med
- innenfor
- uten
- verden
- zephyrnet
- nulldagers sårbarheter