Múltiples vulnerabilidades 0day han sido descubiertas en dispositivos de vigilancia de bebés, permitiendo a los atacantes ejecutar código arbitrario.
Cámara Victure PC420
Estos fallos, pertenecientes a dispositivos desarrollados por el productor chino Victure, han sido descubiertos por investigadores de Bitdefender.
En el security advisory (https://www.bitdefender.com/files/News/CaseStudies/study/402/Bitdefender-PR-Whitepaper-VictureIPC-creat5590-en-EN.pdf) publicado, Bitdefender explica detalladamente como un stack-based overflow en el servidor ONVIF de la cámara Victure PC420 permitiría la ejecución remota de código.
consiguiendo shell reversa con stack-based overflow y netcat
Un atacante podría descubrir cámaras en buscadores IoT como Shodan (https://www.shodan.io/) y comprometerlas fácilmente.
*
Cientos de cámaras usando ONVIF
Bogdan Botezatu, director de detección y reporte de amenazas en Bitdefender, dio el siguiente aviso: «La cámara y plataforma en la nube son una opción muy popular entre los usuarios de dispositivos IoT, estimamos que sobre 4 millones de cámaras afectadas por esta vulnerabilidad están distribuidas por todo el mundo«.
La vulnerabilidad afecta a versiones del firmware Victure PC420 1.2.2 y anteriores.
El silencio del vendedor
Bitdefender ha publicado los detalles de las vulnerabilidades tras haber intentado contactar durante un año con Victure, según Botezatu.
«Hemos decidido publicar la investigación para al menos hacer saber a los usuarios que seguramente están sacrificando su privacidad cada minuto que dejan este dispositivo conectado a internet«
La seguridad sobre el coste
Los usuarios deberían «dejar de usar estos dispositivos por completo«, aconsejó el investigador, añadiendo que los padres deberían priorizar la seguridad sobre el coste o funcionalidades de un dispositivo de este tipo.
Botezatu explicó: «Cuando elegimos un dispositivo para vigilar bebés, debemos priorizar la seguridad respecto a las características o el precio«, y es que, teniendo en cuenta el público al que están enfocados este tipo de dispositivos, un fallo como este puede ser especialmente interesante para los usuarios más desaprensivos».
«Hemos estado avisando sobre el peligro de estos dispositivos de video por años. Empezamos esta investigación de seguridad para ayudar a los padres a proteger su seguridad, así como la de sus hijos«, afirmaba.
El investigador añadió que, en ocasiones, los vendedores ignoran estas fallas y dejan a sus clientes expuestos.
La entrada Detectadas vulnerabilidades en dispositivos IoT para supervisión de bebés. (https://unaaldia.hispasec.com/2021/10/detectadas-vulnerabilidades-en-dispositivos-iot-para-supervision-de-bebes.html) se publicó primero en Una al Día (https://unaaldia.hispasec.com) .
Comentarios recientes