Uma vulnerabilidade de execução remota de código (RCE) em um gravador de vídeo em rede (NVR) fabricado pela Annke pode resultar no comprometimento total do dispositivo IoT.
A falha crítica (CVE-2021-32941) foi descoberta na funcionalidade de reprodução do NVR modelo N48PBB , que captura e grava transmissões ao vivo de até oito câmeras de segurança IP e fornece gerenciamento remoto centralizado de sistemas de vigilância por vídeo.
Os operadores de câmeras de segurança com instalações suscetíveis foram instados a atualizar seu firmware o mais rápido possível para evitar a destruição que os invasores poderiam causar.
De acordo com uma postagem de blog publicada ontem (26 de agosto) pela Nozomi Networks, invasores não autenticados podem acessar “informações privadas gravadas em vídeos, obter a posição de ativos valiosos ou perseguir pessoas”.
Os malcriados também podem excluir filmagens de vídeo, reconfigurar alarmes de detecção de movimento, desativar câmeras especificadas ou desligar o NVR completamente.
Annke, com sede em Hong Kong, afirma que suas câmeras de segurança, NVRs e acessórios relacionados foram usados por cinco milhões de empresas ou proprietários de residências em todo o mundo.
Estouro de buffer
Os pesquisadores encontraram inicialmente uma falha de negação de serviço (DoS) ao difundir solicitações HTTP enviadas pelo cliente para pesquisar imagens da câmera. Essa descoberta os levou a depurar o sistema no nível do hardware.
Em última análise, isso deu a eles acesso SSH irrestrito e os levou a uma função vulnerável – ‘sscanf’ – que gerou um estouro de buffer baseado em pilha.
A saída do programa Unix ‘ ps ‘ então confirmou que o binário era executado com privilégios de root, transformando o bug de corrupção de memória em um RCE classificado como 9.4 no CVSS.
“Como a funcionalidade de pesquisa [de vídeo] é acessível a todos os usuários do dispositivo por padrão, a vulnerabilidade pode ser explorada (em NVRs não corrigidos) diretamente por operadores mal-intencionados, ou usuários, para elevar seus privilégios no sistema”, disse Nozomi Networks.
A ausência de atenuações anti-CSRF ( falsificação de solicitação entre sites ) na funcionalidade de reprodução também significa que “a vulnerabilidade pode ser explorada indiretamente por invasores externos em ataques de ‘download drive-by’”.
‘Tempo de resposta rápido’
A Nozomi Networks alertou Annke sobre a falha em 11 de julho de 2021, e o fornecedor lançou o firmware que aborda a vulnerabilidade em 22 de julho. “Este é um tempo de resposta notavelmente rápido e aplaudimos Annke por isso”, disse Nozomi Networks.
A falha afeta a V3.4.106 build 200422 e todas as versões anteriores.
Um porta-voz de Annke disse ao The Daily Swig : “A privacidade dos clientes é nossa maior prioridade. Quando percebemos o problema, nossa equipe de P&D investigou o problema imediatamente e lançou a atualização do firmware para o NVR específico imediatamente.
“A atualização do firmware já está disponível em nossa loja online oficial ANNKE e anunciamos a atualização em nosso fórum.”
A própria assessoria da US Cybersecurity and Infrastructure Agency sobre a vulnerabilidade oferece atenuações para sistemas vulneráveis e não relata nenhuma evidência, por enquanto, de exploração in-the-wild.
Segurança através da transparência
A Nozomi Networks aconselhou as equipes de vigilância por vídeo a garantir que estejam executando uma solução de monitoramento de rede IoT e OT (tecnologia operacional) e a considerar as “leis de privacidade aplicáveis na jurisdição dos fornecedores” ao comprar sistemas de câmeras de segurança.
A divulgação segue a descoberta da Nozomi Networks no início deste ano de graves vulnerabilidades de câmeras de rede no recurso ponto a ponto (P2P) da Reolink e no kit de desenvolvimento de software (SDK) da Throughtek.
“Este é mais um exemplo de como uma vulnerabilidade de segurança pode ser impactante ao afetar um sistema de câmera IoT”, disse Nozomi Networks Labs ao The Daily Swig .
“Considerando que muitos setores críticos (indústria, transporte, locais públicos e serviços públicos, para citar alguns) dependem desses dispositivos para vigilância e monitoramento de áreas sensíveis, e o crescimento esperado no futuro, é mais importante do que nunca que os proprietários de ativos são fornecidos por fornecedores com soluções totalmente transparentes que não dependem de abordagens de segurança através da obscuridade. ”
Origem: The Daily Swig
mpperes@guiadocftv.com.br – GuiadoCFTV
Por favor avalie esta notícia, mande seus comentários e sugestões. Encontrou alguma informação incorreta ou algum erro no texto?
Gostaria de sugerir alguma notícia ou entrar em contato, clique Aqui!
Importante: Todos os Conteúdos divulgados decorrem de informações provenientes das fontes aqui indicadas, jamais caberá ao Guia do CFTV qualquer responsabilidade pelo seu conteúdo, veracidade e exatidão. Tudo que é divulgado é de exclusiva responsabilidade do autor e ou fonte redatora.’
