Acronis нашла бэкдор в сканерах карт и отпечатков пальцев GeoVision
Компания по обеспечению безопасности Acronis обнаружила четыре уязвимости в сканерах карт доступа и отпечатков пальцев GeoVision, тайваньского производителя систем видеонаблюдения и IP-камер. Эксплуатация уязвимостей давала злоумышленникам возможность перехватывать сетевой трафик и осуществлять «атаки посредника» (Man in the middle, MitM-атаки).
«Злоумышленники имели возможность обеспечить персистентность в сети, шпионить за пользователями и похищать их данные, не будучи обнаруженными. Они могут использовать ваши отпечатки пальцев для авторизации на ваши устройства, а также использовать фотографии для кражи личной информации на основе биометрических данных», — пояснили специалисты Acronis изданию The Hacker News.
Недостатки затрагивают как минимум шесть семейств устройств, причем более 2,5 тыс. уязвимых устройств были обнаружены в Бразилии, США, Германии, Тайване и Японии. Тысячи других устройств могли быть скомпрометированы удаленно.
Первая уязвимость позволяла злоумышленнику получить доступ к устройству с помощью пароля по умолчанию (admin) и удаленного входа на уязвимое устройство. Второй недостаток заключался в использовании встроенных общих криптографических секретных ключей при аутентификации через SSH-протокол. Третья позволяла получить доступ к системным журналам на устройстве без какой-либо аутентификации.
Четвертая уязвимость переполнения буфера позволяет злоумышленникам запускать произвольный код на устройствах. Эта проблема касается отпечатков пальцев GeoVision. Уязвимость получила 10 баллов по шкале CVSS, что делает её критической.
Компания Acronis сообщила, что впервые обратилась к GeoVision в августе прошлого года, затем дважды в сентябре и декабре, в дополнение к обращению в SingCERT, Сингапурское агентство по информационной безопасности. Но только в начале июня GeoVision выпустила исправления для трех недостатков (CVE-2020–3928, CVE-2020–3929 и CVE-2020–3930), оставив уязвимость переполнения буфера без исправления.
«После того, как злоумышленник получит полный контроль над устройством, он сможет установить свою собственную прошивку. Весьма сюрреалистично видеть, что некоторые поставщики не спешат исправлять критические уязвимости. Это показывает, что у IoT есть недостатки, и каждая компания должна понимать, что использование таких устройств означает серьёзные риски», — заявил в комментарии The Hacker News Кевин Рид из Acronis.
