Honeywell kamerák miatt aggódik a CISA

Súlyos sebezhetőség sújt egyes Honeywell CCTV eszközöket.
 

Az amerikai CISA (Cybersecurity and Infrastructure Security Agency) figyelmeztetést adott ki a CVE-2026-1670 azonosítóval ellátott sérülékenység kapcsán, amelyet egyes Honeywell eszközökkel összefüggésben lehetett kimutatni.

A Honeywell megoldásai világszerte használatosak vállalati, kereskedelmi, ipari, kormányzati körökben, de még kritikus infrastruktúrákban is megtalálhatók. Ezért nem véletlen a CISA mostani fellépése. 

A tízes CVSS skálán 9,8-es értéket kiérdemlő biztonsági hiba kihasználásával lehetőség nyílhat előzetes authentikáció nélkül az elfelejtett jelszó funkcióval történő visszaélésre. Ennek következtében a támadó megváltoztathatja a helyreállítási e-mail címet, és hozzáférést szerezhet a kapcsolódó fiókhoz, amelyen keresztül vezérelheti a CCTV-kamerákat, illetve az azok által közvetített felvételeket megtekintheti. A sebezhetőséget az egyik API végpont hibája okozza.

A jelenlegi információk szerint az alábbi termékek érintettek a biztonsági hiba által:

• I-HIB2PI-UL 2MP IP 6.1.22.1216
• SMB NDAA MVO-3 WDR_2MP_32M_PTZ_v2.0
• PTZ WDR 2MP 32M WDR_2MP_32M_PTZ_v2.0
• 25M IPC WDR_2MP_32M_PTZ_v2.0

A Honeywell egyelőre nem adott ki közleményt a sérülékenység miatt, ezért a CISA a terméktámogatás igénybevételét javasolja. Emellett általános biztonsági tanácsokat is adott, mint például az IoT-eszközök izolációja, azok távoli elérésének szigorú kontrollja, illetve ajánlott a VPN-használata az eszközök távoli eléréséhez.