Tre vulnerabilità sono state trovate in telecamere di sicurezza Foscam. Proprietari di tali telecamere sono invitati ad aggiornare quanto prima. I difetti sono descritti come un arbitrario di file-eliminazione di bug, un insetto comando iniezione shell e un Buffer oferflow basato su stack. I bug sono stati scoperti da ricercatori della VDOO.
Durante la loro ricerca, gli esperti sono imbattuto vulnerabilità zero-day in dispositivi di diversi fornitori. Queste vulnerabilità sono stati resi noti ai venditori, secondo le migliori pratiche di divulgazione responsabile, e sarà condiviso gradualmente dopo i periodi informativi sono conclusi, i ricercatori hanno detto.
In termini di vulnerabilità in Foscam prodotti, una catena critica di difetti è stato portato alla luce:
Combinando le vulnerabilità scoperte, un avversario che ottiene con successo l'indirizzo della telecamera, può ottenere l'accesso remoto radice alle telecamere (via LAN o Internet). VDOO è responsabile divulgato queste vulnerabilità (CVE-2018-6830, CVE-2018-6831 e CVE-2018-6832) e impegnati con il team di sicurezza di Foscam di risolvere la questione.
Il team di sicurezza ritiene che le vulnerabilità non sono stati sfruttati in attacchi attivi. In aggiunta, sembra che il team di Foscam ha agito prontamente per correggere i tre insetti e spingerli ai loro clienti esposti.
Di più su CVE-2018-6830, CVE-2018-6831 e CVE-2018-6832
Un attacco sfruttando gli insetti sarebbe ruotano intorno ad un processo di telecamere noti come webService. Il processo riceve le richieste dai server e può essere distribuito per verificare le credenziali dell'utente. Si può anche eseguire il gestore per il particolare comando API.
Il primo passo di un attacco coinvolge un attacco ottenere l'accesso all'indirizzo IP della videocamera vulnerabili o il nome DNS. Questo non può essere difficile a tutti, a seconda delle circostanze, più specificamente – se la fotocamera è dotata di interfaccia diretta ad internet.
Il secondo passo è l'attaccante blocca il processo webService sfruttando CVE-2018-6832, il buffer overflaw insetto basato su stack.
Dopo che il servizio viene arrestato, si riavvia automaticamente tramite il demone cane da guardia. Durante il tempo della ricarica, l'attacco potrebbe sfruttare la seconda vulnerabilità, CVE-2018-6830, per eliminare particolari file critici. Questo porterà a l'autenticazione bypass una volta che le ricariche di processo webService. Questo dà l'attaccante la possibilità di ottenere l'accesso di amministrazione. Una volta fatto questo, l'attaccante può usare la terza vulnerabilità, CVE-2018-6831, per eseguire comandi di root.
Ecco la panoramica tecnica presentata dal team VDOO:
La fotocamera è installato un sistema operativo Linux e tutti i processi vengono eseguiti con privilegi di root. Il web server è un lighttpd con codice fornitore addizionale, e inoltra richieste API al suo processo CGIProxy.fcgi interno, utilizzando il protocollo FastCGI. L'eseguibile CGIProxy.fcgi inoltra le richieste (utilizzando un meccanismo brevettato IPC) al processo webService - che verifica le credenziali dell'utente (se necessario) e gestisce il gestore per il comando API desiderata. A seconda del comando, il conduttore può chiamare il codice addizionale dal processo devMng, che a sua volta solito corre comandi shell utilizzando il sistema() o popen()chiamate di libreria, per configurare i servizi di sistema. Un daemon watchdog riavvia processi importanti dopo che sono terminati.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: