Centaines de caméras IoT affectés par la vulnérabilité critique

Computer Security News

En raison d’une vulnérabilité critique dans le logiciel NUUO, les pirates pourraient à distance afficher des flux vidéo et trafiquer les enregistrements de centaines de milliers de caméras IoT.

Selon les experts en sécurité à valable, la vulnérabilité est appelée « coucou », et il a influé sur plus de 100 marques et 2 500 différents modèles de caméras intégrées avec le logiciel de NUUO.

Peecaboo pourrait être exploitée pour manipuler des caméras et donner les pirates un accès aux noms d’utilisateur et mots de passe. La faille de sécurité a été trouvée dans NVRMini 2, un enregistreur vidéo réseau et périphériques de stockage rattaché au réseau.

La vulnérabilité est un débordement de tampon de pile non authentifié susceptible d’entraîner l’exécution de code distant. Il est suivi comme CVE-2018-1149 et dispose d’une vingtaine de CVSSv2 Base de 10.0.

« Une fois exploitées, Peekaboo donnerait cybercriminels accès au système contrôle de gestion (CMS), exposant les informations d’identification de tous les connectés de caméras de surveillance vidéo. Utilisant un accès root sur le périphérique NVRMini2, cybercriminels pourraient couper les aliments vivants et trafiquer des images de sécurité, » les chercheurs à l’État Tenable.

La vulnérabilité infectés par les versions de firmware NVRMini 2 plus vieux que 3.9.0. et il n’est pas encore patché.

« Dans le même temps, utilisateurs sont invités à contrôler et restreint l’accès à leurs déploiements NUUO NVRMini2 et limitent cela aux utilisateurs légitimes de réseaux sécurisés uniquement. Les propriétaires d’appareils connectés directement à internet sont particulièrement à risque, comme les attaquants potentiels peuvent cibler directement sur internet. Utilisateurs finals doit déconnecter ces dispositifs d’internet jusqu’à ce qu’un patch est sorti, » dit l’équipe Tenable.

Le problème réside dans l’utilisation d’un serveur web open source avec support pour des fichiers binaires exécutables via le protocole d’interface (CGI) passerelle commune. L’un des fichiers binaires CGI, « cgi_system », gère diverses commandes et actions qui requièrent que l’utilisateur soit authentifié, mais taille de ID du paramètre cookie session n’est pas vérifié lors de l’authentification, ce qui permet un débordement de pile dans la fonction de sprint.

La vulnérabilité Peecaboo peut entraîner l’exécution de code à distance avec des privilèges « root » ou administrateur, découvert des chercheurs en sécurité de valable. Proof-of-concept (PoC) code pour démontrer le bogue a été publié sur GitHub.

Mis à part ce bug, valable trouvé une porte dérobée dans le code de débogage restes. La faille est suivie comme CVE-2018-1150 et il a un Score de Base de CVSSv2 de 4.0.

Selon les experts de la sécurité, la porte dérobée est activée si le fichier de Moïse /tmp/ ce qu’on appelle existe. La porte dérobée peut servir à la liste tous les utilisateurs des comptes sur le système et permet également le changement du mot de passe d’un compte.

Les pirates qui abusent de la vulnérabilité ne pourraient pas seulement afficher les émissions caméra et les enregistrements de CCTV, mais pourraient aussi prendre l’appareil photo en mode hors connexion.


Leave a Reply

Your email address will not be published. Required fields are marked *