Casi 400 modelos de cámaras Axis expuestos a ataques remotos
Se han descubierto 7 vulnerabilidades que afectan a 390 modelos diferentes de cámaras de la marca, que permitirían acceder sin credenciales, escalar privilegios y ejecutar comandos arbitrarios
VDOO Discovers Significant Vulnerabilities in Axis Cameras:
https://blog.vdoo.com/2018/06/18/vdoo-discovers-significant-vulnerabilities-in-axis-cameras/
Affected Product List:
https://www.axis.com/files/sales/ACV-128401_Affected_Product_List.pdf
Las vulnerabilidades han sido descubiertas por la empresa de seguridad VDOO, en un proyecto interno enfocado a la seguridad de cámaras IP. Éstas son:
- CVE-2018-10658: bloqueo del proceso ‘/bin/ssid’.
- CVE-2018-10659: bloqueo del proceso ‘/bin/ssid’.
- CVE-2018-10660: inyección de comandos shell.
- CVE-2018-10661: salto del proceso de autenticación
- CVE-2018-10662: elevación de permisos usando funcionalidad ‘.srv’ de dbus.
- CVE-2018-10663: lectura fuera del buffer en proceso ‘/bin/ssid’.
- CVE-2018-10664: bloqueo del proceso httpd.
De estas vulnerabilidades, las catalogadas con los identificadores CVE-2018-10661, CVE-2018-10662 y CVE-2018-10660 permiten en su conjunto tomar el control total de las cámaras por el atacante sin la necesidad de autenticación. La empresa de seguridad ha puesto algunos ejemplos de las acciones que podrían realizarse:
- Acceder a la transmisión de vídeo.
- Bloquear la transmisión de vídeo.
- Tomar el control de la cámara para activarla/desactivarla o rotarla.
- Añadir la cámara a una botnet.
- Alterar o cambiar el firmware de la cámara.
- Utilizar la cámara para infiltrarse en la red.
- Inutilizar la cámara.
- Emplear la cámara para otros ataques, como DDoS o minería de bitcoin.
Las otras vulnerabilidades descritas, con los identificadores CVE-2018-10658, CVE-2018-10659 y CVE-2018-10664, permitirían afectar al funcionamiento de la cámara, sin que se requiera autenticación para ninguna de ellas. Finalmente, la vulnerabilidad CVE-2018-10663 permite la revelación de información sin autenticación.
La empresa que ha descubierto las vulnerabilidades asegura que no hay pruebas de que haya habido explotación, recomendando a todos los usuarios afectados actualizar de inmediato. Axis ha liberado un listado de los modelos afectados.
Las vulnerabilidades en dispositivos IoT se encuentran a la orden del día, evidenciando la necesidad de preocuparse por la seguridad de estos dispositivos y mantenerlos actualizados. No sólo es importante por la posible pérdida de privacidad (como en este caso acceder al streaming de vídeo) sino también porque permiten acceder al resto de la red para vulnerar otros dispositivos.
Más información:
VDOO Discovers Significant Vulnerabilities in Axis Cameras:
https://blog.vdoo.com/2018/06/18/vdoo-discovers-significant-vulnerabilities-in-axis-cameras/
Affected Product List:
https://www.axis.com/files/sales/ACV-128401_Affected_Product_List.pdf
Powered by WPeMatico
