Новости и события

Атакующий может управлять отдельным устройством, похищать учетные данные, а также контролировать всю систему наблюдения.

Сотни тысяч камер видеонаблюдения могут быть скомпрометированы через уязвимость, выявленную ИБ-специалистами. Как заявляют исследователи, CVE-2018-1149 позволяет удаленному злоумышленнику получать полный контроль за системами видеонаблюдения на базе программного обеспечения, созданного компанией NUUO.

По словам аналитиков, эксплойт Peekaboo вызывает переполнение буфера, что дает возможность атакующему не только просматривать изображение с камер наблюдения, но и вмешиваться в ход записи. Злоумышленник может включать и выключать сохранение видеопотока на диск, а также заменять его статической картинкой.

Эксплуатация уязвимости приводит к компрометации учетных данных камеры и раскрытию ее пароля, IP-адреса, марки, модели и списка подключенного оборудования. В дополнение к этому киберпреступники имеют возможность управлять питанием системы и отключать взломанные устройства. Брешь допускает создание административного аккаунта на видеосервере NVRmini 2, а также перехват управления всей сетью видеонаблюдения.

Программное обеспечение компании совместимо с тысячами моделей IP-камер более чем 100 производителей. Среди клиентов NUUO есть офисные и торговые центры, банки и медицинские учреждения. Специалисты не раскрывают технических деталей эксплойта, но отмечают, что баг затрагивает версию 3.9.0 системы, а также более ранние релизы.

Эксперты передали информацию о бреши разработчикам приложения, а также выпустили плагин, при помощи которого пользователи могут узнать о наличии бага в своих камерах. NUUO пока не выпустила патч, закрывающий брешь, однако представители компании сообщили, что работают над этим.

В марте этого года шесть уязвимостей были обнаружены в прошивке камер, продаваемых под брендом Geutebr?ck. Как и в случае с программами NUUO, найденные бреши позволяли злоумышленникам управлять скомпрометированными устройствами, а также красть учетные данные пользователей, зарегистрированных в системе. Под удар попало также оборудование еще пяти производителей, применяющих то же самое ПО.