D-Link -ohjelmiston vikoja voi sallia IP-videoiden vakoilu

Jos käytät pankkia ja käytät IP-videokameraa D-Linkistä, sinun kannattaa kiinnittää huomiota tähän.

Useita IP-pohjaisia ​​valvontakameraa D-Linkin valmistamat ohjelmistovirheet ovat haavoittuvuuksia, jotka voivat sallia hyökkääjän tarttua videovirtaan tietoturva-asiantuntijoiden mukaan.

Core Security, Bostonissa sijaitseva erikoistunut haavoittuvuuksien tunnistamiseen ja tutkimukseen erikoistunut yritys, julkaisi maanantaina viisi haavoittuvuutta

[Lue lisää: Paras ylijännitesuoja kalliille elektroniikalle]

D-Link tekee monista Internet-yhteyksistä kameroista, joita se myy yrityksille ja kuluttajille. Kamerat voivat tallentaa kuvia ja videota ja ohjata verkkopohjaisilla ohjauspaneeleilla. Live-syötteitä voi katsella joillakin mobiililaitteilla.

Yksi haavoittuvista malleista, DCS-5605 / DCS-5635, on liiketunnistusominaisuus, jota markkinointimateriaaleissaan ehdottaa D- sairaaloissa ja toimistoissa.

Core Securityn tutkijat havaitsivat, että oli mahdollista käyttää reaaliaikaista streaming-protokollaa (reaaliaikaista streaming-protokollaa) reaaliaikaisen videovirran reaaliaikaista käyttöä sekä videovirran ASCII-lähtöä kyseisissä malleissa. RTSP on sovellustason protokolla reaaliaikaisen tiedon siirtoon Internet Engineering Task Forcein mukaan.

Tutkijat löysivät myös ongelman web-pohjaisella ohjauspaneelilla, jonka avulla hakkeri voisi syöttää mielivaltaisia ​​komentoja. Toisessa virheessä D-Linkin kovan koodin kirjautumisvalmiudet laitteistoon, joka "toimii tehokkaasti takaovenä, joka mahdollistaa etähyökkääjät pääsemästä RTSP-videovirtaan", Core Security sanoi neuvonnassaan.

Tekniset tiedot on kuvattu Seclists.org-julkaisun Full Disclosure -osiossa ja luettelo tiedossa olevista tuotteista, joista osa on poistettu käytöstä D-Linkiltä.

Core Security ilmoitti ongelmasta D-Link 29. maaliskuuta, kahden yrityksen vuorovaikutuksen lokin mukaan, jotka sisältyvät täydelliseen tiedonantoon lähettämiseen. Corein kirjoittama loki sisältää mielenkiintoisia yksityiskohtia siitä, miten nämä kaksi yritystä vastasivat, ja ilmeisesti oli pari erimielisyyttä.

Corein mukaan D-Link sanoi, että sillä oli "julkaisematon bounty-ohjelma turvallisuuden toimittajille". Monet yritykset ovat kehittäneet bugi-ohjelmia, jotka palkitsevat tutkijoita käteisellä tai muilla kannustimilla tuotteidensa turvallisuuskysymysten löytämiseen ja tiedottamiseen ennen julkaisun julkistamista.

Noin 20. maaliskuuta D-Link pyysi, että Core Security allekirjoittaa "ymmärtämystä koskevan muistion" osana ohjelmaa, jonka Core hylkäsi. Muistion ehtoja ei ole kuvattu. Core kertoi D-Linkille, että "rahan saaminen myyjiltä saattaa vääristää raportin näkemystä."

Näillä kahdella yrityksellä oli toinen pienempi sisäänajo. D-Link kertoi Coreille, että se julkaisi levyt ja ohjeet ongelmien ratkaisemiseksi D-Linkin tukifoorumilla. D-Link odottaa sitten kuukausi ennen ilmoituksen tekemistä.

Core Security ei pitänyt tätä ehdotusta. Core kysyi viime keskiviikkona D-Linkin julkaisupäivää koskevasta selvennyksestä ja ilmoitti, että etuoikeutetun suljetun ryhmän ja / tai suljetun foorumin tai luettelon korjaaminen ei ole sallittua.

D-Linkin foorumilla on kirjautumiskenttä, mutta näyttää siltä, ​​että kuka tahansa voi tarkastella monta viestiä ilman rekisteröitymistä. D-Link palasi päivän kuluttua ja sanoi, että korjaustiedostot ovat valmiita ja julkaistaan ​​verkkosivuillamme "lähipäivinä", Core kirjoitti.

D-Link ei vastannut välittömästi kommentointipyyntöihin.

Core Security hyppäsi tutkijoita Francisco Falcon, Nahuel Riva, Martin Rocha, Juan Cotta, Pablo Santamaria ja Fernando Miranda löytääkseen ongelmat.