DWLink firmware D-Link by mohl umožnit špionážní IP video šifrování

Pokud provozujete banku a použijete IP kameru od společnosti D-Link, možná budete chtít věnovat pozornost tomuto.

Řada monitorovacích videokamer založených na IP které společnost D-Link poskytla, mají zranitelnosti firmwaru, které by mohly umožnit útočníkovi zachytit video stream podle výzkumných pracovníků v oblasti bezpečnosti.

Společnost Core Security, společnost se sídlem v Bostonu, která se specializuje na zjišťování zranitelností a výzkum, zveřejnila v pondělí podrobnosti o pěti zranitelných místech ve firmwaru D-Link, který je zabalen do nejméně 14 svých výrobků.

D-Link vyrábí celou řadu internetových kamer, které prodává podnikům a spotřebitelům. Kamery dokáží zaznamenávat obrazy a video a řídit pomocí webových ovládacích panelů. Živé zdroje mohou být zobrazeny na některých mobilních zařízeních.

Jeden z ohrožených modelů, DCS-5605 / DCS-5635, má funkci detekce pohybu, kterou D-Link navrhuje ve svých marketingových materiálech, nemocnice a kanceláře

Vědci společnosti Core Security zjistili, že je možné bez autentizace získat přístup k živému video streamu prostřednictvím protokolu RTSP (streamingový protokol v reálném čase) stejně jako ASCII výstup video streamu v dotčených modelech. RTSP je protokol na úrovni aplikací pro přenos dat v reálném čase podle Internet Engineering Task Force.

Výzkumníci také našli problém s webovým ovládacím panelem, který by umožnil hackerovi zadat libovolné příkazy. V jiném případě chyběly hardwarově kódované přihlašovací údaje D-Link do firmwaru, který "účinně slouží jako backdoor, který umožňuje vzdáleným útočníkům přístup k video streamu RTSP," uvedl Core Security ve svém poradenství.

Technické detaily jsou popsány v příspěvku v sekci Úplné zpřístupnění společnosti Seclists.org spolu se seznamem známých dotčených produktů, z nichž některé byly společností D-Link vyřazeny.

Společnost Core Security oznámila problém dne 29. března, podle záznamů o vzájemné interakci mezi dvěma společnostmi, které byly zahrnuty do vysílání na úplné zpřístupnění informací. Log, napsaný firmou Core, obsahuje zajímavé informace o tom, jak obě společnosti odpovídaly a zdálo se, že mají pár neshod.

D-Link uvedl, že má "nepublikovaný program pro prodejce zabezpečení". Mnoho společností má chybné programy, které odměňují výzkumné pracovníky penězi nebo jinými pobídkami k nalezení bezpečnostních problémů ve svých produktech a informují je před zveřejněním podrobností.

Okolo 20. března požádala společnost D-Link, aby Core Security podepsala "poznámku o porozumění" jako součást programu, který Core zamítl. Termíny této poznámky nebyly popsány. Jádro pro společnost D-Link řekl, že obdržení peněz od dodavatelů může zkreslit pohled na zprávu.

Dvě společnosti měly další drobný zásah. D-Link řekl společnosti Core, že uvolní patche a pokyny k vyřešení problémů na fóru podpory D-Link. D-Link by pak čekal měsíc před zveřejněním oznámení.

Core Security se tomuto návrhu nelíbil. Minulá středa Core požádala společnost D-Link o vysvětlení týkající se data vydání D-Link a upozorňuje, že uvolnění opravných položek do privilegované uzavřené skupiny nebo uzavřeného fóra či seznamu je nepřijatelné.

Fórum společnosti D-Link nemá přihlašovací pole, ale zdá se, že někdo může zobrazit mnoho z příspěvků bez registrace. D-Link se vrátil o den později a řekl, že opravy jsou připravené a budou zveřejněny na svých webových stránkách "během několika následujících dní," napsal Core.

D-Link neodpověděl okamžitě na žádosti o komentář. Bylo to nejasné z fóra podpory společnosti, pokud byly firmvérské aktualizace zveřejněny ještě.

Core Security připočítával své výzkumníky Francisco Falcon, Nahuel Riva, Martin Rocha, Juan Cotta, Pablo Santamaria a Fernando Miranda. >