Verschillende kritische kwetsbaarheden zijn ontdekt in sommige 400 Axis camera modellen. De gebreken kan leiden tot hackers om de volledige controle te nemen over het getroffen camera of verstrikken ze in botnets. VDOO onderzoekers opgegraven de kwetsbaarheden die via het IP-adres van de camera kan worden aangetast. Als gevolg hackers bespioneert geen audio- of video-opnamen.
Meer informatie over de beveiligingslekken in Axis camera's
Het exacte aantal kwetsbaarheden is zeven: CVE-2018-10.658, CVE-2018-10.659, CVE-2018-10.660, CVE-2018-10.661, CVE-2018-10.662, CVE-2018-10.663, en CVE-2018-10.664. Volgens de onderzoekers, enkele kwetsbaarheden kunnen aan elkaar worden gekoppeld in een enkele aanval:
Chaining drie van de gemelde beveiligingslekken samen kan een niet-geverifieerde externe aanvaller die toegang tot de camera login pagina heeft via het netwerk (zonder enige toegang tot de camera of de geloofsbrieven aan de camera) om volledig te beheersen de getroffen camera.
Bovendien, een aanvaller die wortel controle over de kwetsbare camera's verkregen kan ook invloed hebben op de manier waarop de camera's werken door de toegang tot en het bevriezen van hun video stream. Ze kunnen ook luisteren naar audio, besturen de beweging van de camera's, en omvatten de camera in een botnet. De software van de camera kan ook worden geknoeid. De camera kan ook worden ingezet als een aangrijpingspunt voor DDoS-aanvallen.
Verwant: Drie beveiligingslekken gevonden in Foscam IP-camera's (CVE-2018-6830)
In een gesprek met ZDNet, VDOO CTO Asaf Karas zei die wortel-toegang gebreken zijn zo bedreigend, omdat de aanvaller “kon praktisch gebruik een kenmerk van de camera en daarbuiten". “Met de juiste middelen, als iemand weet van een dergelijke kwetsbaarheden voor een lange tijd voordat ze worden gepatcht — hij of zij kan zeker schenden individuele privacy en veiligheid organisatie in een significante wijze; en ook andere doelen kunnen aanvallen met behulp van veel van de getroffen camera's,” hij voegde toe.
Gelukkig, de onderzoekers hebben gemeld dat de diverse beveiligingslekken zijn niet in het wild misbruik, als minst om het beste van hun kennis. Met andere woorden, de gebreken hebben niet geleid tot een concrete schending van privacy of een andere bedreiging van de veiligheid.
De verkoper, As, is op de hoogte en bijgewerkt firmware is vrijgegeven voor de betrokken producten. Dit gebeurde twee maanden voor het onderzoek publiek ging. Dit is wat Axis gezegd:
Axis is reeds in kennis gesteld van de kwetsbaarheden en hebben bijgewerkte firmware voor alle betrokken producten die twee maanden voor het onderzoek werd gepubliceerd. Axis raadt ten zeerste eindgebruikers om de firmware-update voor getroffen Axis producten op een gecontroleerde manier. Om efficiënt kosten implementeren van de verbeterde firmware, Axis beveelt het gebruik van de functie as Device Manager, die voortdurend zal toezien op en de hoogte van de beschikbare firmware.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: