Эксперты Positive Technologies в IP-камерах компании Dahua выявили и устранили критическую уязвимость, которая содержалась в программном обеспечении, сообщили Новости безопасности. Данное ПО широко используется в системах безопасности в телекоммуникациях, банковской системе, в энергетике, транспорте, в системах «умный дом». Наличие проблемы было зафиксировано в сотнях тысяч камер Dahua по всему миру, а также в видеокамерах системы наблюдения других производителей.
Уязвимость получила название CVE-2017-3223, и эксперты дали ей максимальную оценку в 10 баллов (шкала CVSS Base Score). Уязвимость связана с возможностью переполнения буфера, который предназначен для дистанционного управления и настройки камер. Выглядит это таким образом: в веб-интерфейсе Sonia неавторизованный пользователь имеет возможность отправить POST-запрос, специально сформированный для того, чтобы получить права администратора. Таким образом, уязвимость веб-интерфейса Sonia позволяет получить неограниченный контроль над IP-камерой, подчеркивают Новости безопасности.
Как утверждают эксперты Positive Technologies , с точки зрения программного обеспечения это позволяет делать с камерой системы видеонаблюдения что угодно. А это значит, что злоумышленник может перехватить видеотрафик, модифицировать его, осуществить DDoS-атаку наподобие Mirai, включив устройство в ботнет, сообщают Новости безопасности.
Уязвимость обнаружена в IP-камерах, имеющих программное обеспечение DH_IPC-ACK-Themis_Eng_P_V2.400.0000.14.R, а также в более ранних версиях прошивки. Эксперты полностью устранили этот недостаток, и для того, чтобы обеспечить безопасность собственных систем, нужно обновить программное обеспечение до версии DH_IPC-Consumer-Zi-Themis_Eng_P_V2.408.0000.11.R.20170621.