Un interfon inteligent și videofon popular de la compania chineză Akuvox, E11, este plin de mai mult de o duzină de vulnerabilități, inclusiv o eroare critică care permite executarea codului de la distanță (RCE) neautentificat.
Acestea ar putea permite actorilor rău intenționați să acceseze rețeaua unei organizații, să fure fotografii sau videoclipuri capturate de dispozitiv, să controleze camera și microfonul sau chiar să blocheze sau să deblocheze uși.
Vulnerabilitățile au fost descoperite și evidențiate de către firma de securitate Claroty's Team82, care a devenit conștientă de punctele slabe ale dispozitivului atunci când s-au mutat într-un birou unde E11 fusese deja instalat.
Curiozitatea membrilor Team82 față de dispozitiv s-a transformat într-o investigație completă, deoarece au descoperit 13 vulnerabilități, pe care le-au împărțit în trei categorii în funcție de vectorul de atac utilizat.
Primele două tipuri pot apărea fie prin RCE în cadrul rețelei locale, fie prin activarea de la distanță a camerei și microfonului lui E11, permițând atacatorului să colecteze și să exfiltreze înregistrări multimedia. Al treilea vector de atac vizează accesul la un server extern, nesecurizat de protocol de transfer de fișiere (FTP), permițând actorului să descarce imagini și date stocate.
O eroare RCE critică în Akuvox 311
În ceea ce privește bug-urile care ies cel mai mult în evidență, o amenințare critică - CVE-2023-0354, cu un scor CVSS de 9.1 — permite accesarea serverului web E11 fără nicio autentificare a utilizatorului, oferind potențial atacatorului acces facil la informații sensibile.
„Serverul web Akuvox E11 poate fi accesat fără nicio autentificare a utilizatorului, iar acest lucru ar putea permite unui atacator să acceseze informații sensibile, precum și să creeze și să descarce capturi de pachete cu adrese URL implicite cunoscute”, potrivit Agenției de Securitate Cibernetică și Securitate a Infrastructurii (CISA). , care a publicat un aviz despre erori, inclusiv a prezentare generală a vulnerabilității.
O altă vulnerabilitate de remarcat (CVE-2023-0348, cu un scor CVSS de 7.5) se referă la aplicația mobilă SmartPlus pe care utilizatorii iOS și Android o pot descărca pentru a interacționa cu E11.
Problema de bază constă în implementarea de către aplicație a protocolului de inițiere a sesiunii (SIP) open source pentru a permite comunicarea între doi sau mai mulți participanți prin rețele IP. Serverul SIP nu verifică autorizarea utilizatorilor SmartPlus de a se conecta la un anumit E11, ceea ce înseamnă că orice persoană cu aplicația instalată se poate conecta la orice E11 conectat la Web - inclusiv cei situati în spatele unui firewall.
„Am testat acest lucru folosind interfonul din laboratorul nostru și altul la intrarea în birou”, potrivit raportului Claroty. „Fiecare interfon este asociat cu conturi diferite și cu diferite părți. Am putut, de fapt, să activăm camera și microfonul efectuând un apel SIP din contul laboratorului către interfonul de la ușă”.
Vulnerabilitățile de securitate Akuvox rămân necorecte
Team82 și-a subliniat încercările de a aduce vulnerabilitățile în atenția lui Akuvox, începând din ianuarie 2022, dar după mai multe încercări de informare, contul lui Claroty la vânzător a fost blocat. Team82 a publicat ulterior un blog tehnic care detaliază vulnerabilitățile zero-day și a implicat Centrul de coordonare CERT (CERT/CC) și CISA.
Organizațiile care folosesc E11 sunt sfătuite să-l deconecteze de la Internet până când vulnerabilitățile sunt remediate sau să se asigure că camera nu este capabilă să înregistreze informații sensibile.
În cadrul rețelei locale, „organizațiile sunt sfătuite să segmenteze și să izoleze dispozitivul Akuvox de restul rețelei întreprinderii”, potrivit raportului Claroty. „Nu numai că dispozitivul ar trebui să locuiască pe propriul segment de rețea, dar comunicarea către acest segment ar trebui să fie limitată la o listă minimă de puncte finale.”
Abundă erori în camere și dispozitive IoT
O lume de dispozitive din ce în ce mai conectate a creat un suprafață vastă de atac pentru adversari sofisticati.
Numărul de conexiuni la internetul industrial al lucrurilor (IoT) – o măsură a numărului total de dispozitive IoT implementate – este de așteptat să se dubleze cu peste 36.8 miliarde în 2025, în creștere de la 17.7 miliarde în 2020. conform Juniper Research.
Și în timp ce Institutul Național de Standarde și Tehnologie (NIST) a stabilit un standard pentru criptarea comunicațiilor IoT, multe dispozitive rămân vulnerabile și nepattchizate.
Akuvox este cel mai recent dintr-o serie lungă dintre acestea care s-au dovedit a lipsi grav când vine vorba de securitatea dispozitivului. De exemplu, o vulnerabilitate critică RCE în camerele video IP Hikvision a fost dezvăluit anul trecut.
Și în noiembrie anul trecut, o vulnerabilitate dintr-o serie de sisteme de intrare digitale populare oferite de Aiphone a permis hackerilor să încălcarea sistemelor de intrare — pur și simplu prin utilizarea unui dispozitiv mobil și a unei etichete de comunicare în câmp apropiat (NFC).
- Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
- Platoblockchain. Web3 Metaverse Intelligence. Cunoștințe amplificate. Accesați Aici.
- Sursa: https://www.darkreading.com/cloud/unpatched-zero-day-bugs-smart-intercom-remote-eavesdropping
- :este
- $UP
- 1
- 2020
- 2022
- 7
- 8
- 9
- a
- Capabil
- Despre Noi
- acces
- accesate
- Conform
- Cont
- Conturi
- Activarea
- actori
- consultativ
- După
- agenție
- Permiterea
- permite
- singur
- deja
- și
- și infrastructură
- Android
- O alta
- aplicaţia
- SUNT
- ZONĂ
- AS
- asociate
- At
- ataca
- Încercările
- atenţie
- Autentificare
- autorizare
- bazat
- BE
- Început
- în spatele
- între
- Miliard
- blocat
- Blog
- aduce
- Bug
- gandaci
- by
- apel
- aparat foto
- camere video
- CAN
- capabil
- capturi
- categorii
- Centru
- chinez
- CISA
- cod
- colecta
- Comunicare
- companie
- preocupările
- Conectați
- legat
- Dispozitive conectate
- Conexiuni
- Control
- coordonare
- Nucleu
- ar putea
- crea
- a creat
- critic
- curiozitate
- Securitate cibernetică
- Agenția de securitate cibernetică și infrastructură
- de date
- Mod implicit
- dislocate
- detalierea
- dispozitiv
- Dispozitive
- diferit
- digital
- a descoperit
- împărțit
- De
- Uși
- dubla
- Descarca
- duzină
- fiecare
- oricare
- permite
- asigura
- Afacere
- Intrare
- intrare
- Eter (ETH)
- Chiar
- execuție
- de aşteptat
- extern
- Fișier
- firewall
- Firmă
- First
- fixată
- Pentru
- găsit
- din
- Oferirea
- hackeri
- Evidențiat
- http
- HTTPS
- imagini
- implementarea
- in
- Inclusiv
- tot mai mult
- individ
- industrial
- informații
- Infrastructură
- instanță
- Institut
- interacţiona
- Internet
- internetul Lucrurilor
- investigaţie
- implicat
- iOS
- IoT
- dispozitive iot
- IP
- problema
- IT
- ESTE
- ianuarie
- cunoscut
- de laborator
- Nume
- Ultimele
- Limitat
- Linie
- Listă
- local
- situat
- Lung
- Efectuarea
- multe
- sens
- măsura
- microfon
- minim
- Mobil
- Aplicatie mobila
- dispozitiv mobil
- mai mult
- cele mai multe
- Multimedia
- național
- reţea
- rețele
- NFC
- nist
- noiembrie
- număr
- of
- oferit
- Birou
- on
- ONE
- deschide
- open-source
- organizație
- organizații
- in caz contrar
- a subliniat
- outreach
- propriu
- participanţi
- special
- petreceri
- Plato
- Informații despre date Platon
- PlatoData
- Popular
- potenţial
- protocol
- publicat
- înregistrare
- rămâne
- la distanta
- raportează
- REST
- s
- securitate
- segment
- sensibil
- serie
- sesiune
- Stabilit
- câteva
- să
- pur şi simplu
- inteligent
- sofisticat
- Sursă
- stand
- standard
- standarde
- stocate
- Ulterior
- sisteme
- TAG
- obiective
- Tehnic
- Tehnologia
- acea
- lor
- Acestea
- lucruri
- Al treilea
- amenințare
- trei
- Prin
- la
- Total
- transfer
- transformat
- Tipuri
- deschide
- Utilizator
- utilizatorii
- Utilizand
- vânzător
- verifica
- Video
- Vulnerabilitățile
- vulnerabilitate
- vulnerabil
- web
- server de web
- BINE
- care
- în timp ce
- cu
- în
- fără
- lume
- zephyrnet
- vulnerabilități de zero zile