Camerele populare IoT au nevoie de corecții pentru a evita atacurile catastrofale

Cel puțin cinci modele de camere EZVIZ Internet of Things (IoT) sunt vulnerabile la o mână de vulnerabilități care ar putea duce la accesarea, decriptarea și descărcarea video-ului de pe dispozitive de către actorii amenințărilor.

EZVIZ este o marcă de securitate inteligentă a casei de hardware conectat la cloud folosită pe tot globul, oferind zeci de modele de camere de securitate IoT. 

Ca parte a cercetării lor continue privind securitatea hardware IoT, analiștii de la Bitdefender au identificat vulnerabilități în cel puțin cinci modele de camere EZVIZ, deși echipa a adăugat că ar putea exista și alte produse afectate: 

• CS-CV248 [20XXXXX72] – versiunea V5.2.1 180403
• CS-C6N-A0-1C2WFR [E1XXXXX79] – versiunea V5.3.0 201719
• CS-DB1C-A0-1E2W2FR [F1XXXXX52] – versiunea V5.3.0 211208
• CS-C6N-B0-1G2WF [G0XXXXX66] – versiunea 5.3.0 210731
• CS-C3W-A0-3H4WFRL [F4XXXXX93] – versiunea V5.3.5 22012

În primul rând, cercetătorii în domeniul securității au identificat o eroare de depășire a memoriei tampon bazată pe stivă care ar putea duce la execuția de cod de la distanță (CVE-2022-2471). În plus, au găsit o vulnerabilitate nesigură de referință directă la obiect la mai multe puncte finale API care ar putea permite unui atacator cibernetic să preia controlul asupra camerei și o a treia eroare de la distanță care permite unui atacator să fure cheia de criptare pentru videoclip, au adăugat cercetătorii. 

În cele din urmă, o vulnerabilitate locală, urmărită sub CVE-2022-2472, permite unui atacator să preia în mod serios dispozitivul. 

„Când sunt conectate în lanț, vulnerabilitățile descoperite permit unui atacator să controleze de la distanță camera, să descarce imagini și să le decripteze”, Securitate cibernetică IoT a adăugat echipa de cercetare. „Utilizarea acestor vulnerabilități poate ocoli autentificarea și poate executa codul de la distanță, compromițând și mai mult integritatea camerelor afectate.” 

EZVIZ a început să emită actualizări de securitate pentru camerele afectate de Bug IoT începând din iunie, Bitdefender a dezvăluit.