Peekaboo hiba, avagy a kamerák réme

Az egyik széles körben használt kameraszoftver esetében egy kritikus veszélyességű hibára derült fény. A sebezhetőség kémkedést is elősegíthet.
 

A Tenable biztonsági kutatói két sérülékenységre akadtak, amelyek közül az egyik a legmagasabb veszélyesség besorolást érdemelte ki. Ennek oka, hogy a legfrissebb vizsgálatok szerint a biztonsági résen keresztül jogosulatlan távoli kódfuttatásra és rendszerhozzáférésre nyílhat lehetőség akár olyan módon is, hogy előzőleg a támadó nem authentikálja magát a célkeresztbe állított kamerarendszeren.
 
A sérülékenységet a NUUO egyik szoftvere tartalmazza, és elsőként a NUUO NVRMini2 esetében sikerült kimutatni. Csakhogy később kiderült, hogy a sebezhetőség egy olyan összetevőben található, amelyet OEM-gyártók és egyéb külső partnerek is felhasználnak a saját megoldásaikban. A jelenlegi elemzések szerint több mint 100 kameramárka és 2500 különféle típusú kamera lehet érintett a hiba által.
 
A Peekaboo névre keresztelt biztonsági hiba hozzáférést biztosíthat a támadók számára a CMS (Control Management System) rendszerhez. Méghozzá root, azaz rendszergazdai jogosultságokkal, így az elkövetők tulajdonképpen teljes mértékben átvehetik az irányítást a térdre kényszerített rendszer felett. Kémkedhetnek vagy akár kedvükre le is állíthatják a kamerafelvételeket.
 
A biztonsági hiba a NUUO által alkalmazott - amúgy nyílt forráskódú - webszervert sújtja, annak is a CGI-támogatását. A különféle parancsok végrehajtásához a szoftver hitelesítést követel meg, csakhogy ennek során nem ellenőrzi megfelelően a munkamenetazonosítók (Session ID-k) hosszát. Ennek következtében puffertúlcsordulási hiba idézhető elő, aminek hatására kezdetét veheti a tényleges károkozás.
 
A Tenable által feltárt másik rendellenesség közepes veszélyességűnek minősült. Ez esetben tulajdonképpen egy hátsó kapuról van szó, amely akkor aktiválható, ha a rendszeren megtalálható egy /tmp/moses nevű fájl. Ennek megléte esetén a támadó hozzáférhet a rendszerbe felvett felhasználói fiókok listájához, sőt az azokhoz tartozó jelszavakat is megváltoztathatja. Eközben megtekintheti a kamerafelvételeket, és kamerákat távolíthat el a rendszerből. E hiba kihasználásához azonban előzőleg be kell tudnia jelentkezni a megtámadott rendszerbe.

 
Fontos óvintézkedések
 
Hibajavítás egyelőre nem érhető el, ezért a Tenable szakemberei minden érintett felhasználónak, üzemeltetőnek azt javasolták, hogy a kamerarendszerek hozzáférését szigorúan szabályozzák. A lehetőségekhez mérten érdemes e rendszereket leválasztani az internetről, mivel így a támadási felület lecsökkenthető.
Vélemények
 
  1. 4

    A Drupal alapú weboldalak frissítését mihamarabb célszerű elvégezni.

  2. 3

    A McAfee Data Loss Prevention egy közepes veszélyességű biztonsági hibát tartalmaz.

  3. 1

    A Betabot trójai számos kártékony tevékenységbe tud bekapcsolódni. A neve ellenére már egyáltalán nem béta verzióról van szó.

 
Partnerhírek
Okoseszközeink az áramellátást is veszélyeztethetik

A kiberbűnözők internetes hálózatba kapcsolt háztartási készülékeket köthetnek botnetekbe, hogy manipulálhassák az energiahálózatot.

Amikor az ellátási lánc a gyenge pont

Október elején az egész biztonsági világ rácsodálkozott a neves Bloomberg Businessweek tényfeltáró cikkére, mely hardverszintű beépített kémkedésről szólt.

hirdetés
Közösség
1