近400款Axis 摄像头易受远程攻击

翻译：360代码卫士团队

瑞典网络摄像头制造商Axis Communications AB 修复了近400款摄像头中的7个安全漏洞。

网络安全公司 VDOO 在开展对 IP 摄像头的内部计划时，分析了 Axis 固件并发现了这些漏洞。

VDOO 专家发现的7个安全漏洞如下：

• CVE-2018-10658 –导致 /bin/ssid 进程崩溃

• CVE-2018-10659 -  /bin/ssid 进程崩溃

• CVE-2018-10660 - Shell 命令注入漏洞

• CVE-2018-10661 –授权绕过漏洞

• CVE-2018-10662 - 用户对 .srv 功能 dbus 的访问不受限

• CVE-2018-10663 -  /bin/ssid 进程中的信息泄露漏洞

• CVE-2018-10664 - httpd 进程崩溃

VDOO 发布技术报告，详述了每个缺陷的情况，并提供了 PoC 以重现 Axis 固件老旧版本的行为。

安全专家将这些漏洞告知厂商，后者发布了固件更新。Axis 公司还公布了所有受影响的摄像头机型，以及包含修复方案的固件版本号以及更新固件的地址链接。

攻击者需要获知摄像头的 IP 地址才能利用这些漏洞，但实际上由于多数僵尸网络扫描全部的 IPv4 地址空间查找易受攻击的设备，因此这个条件实际上并非大问题。

分拆每个漏洞来看，严重程度并没有那么高，但VDOO 公司表示如果结合使用其中的三个漏洞即 CVE-2018-10660、CVE-2018-10661和 CVE-2018-10662，攻击者就能够在无需知道凭证的情况下接管易受攻击的设备。

VDOO 公司表示，控制某台摄像头的攻击者能够执行如下多种动作，包括但不仅限于：

• 访问摄像头的视频流

• 冻结摄像头的视频流

• 控制摄像头——将镜头对准目标方向，开启或关闭运动检测

• 将摄像头增加至僵尸网络

• 修改摄像头软件

• 将摄像头作为网络的渗透点（执行横向位移）

• 渲染摄像头导致其失去作用

• 使用摄像头执行其它恶意任务（DDoS 攻击、挖掘比特币等）

安全研究人员表示尚未检测到或发现试图利用这些漏洞的迹象。鉴于最近发生的安全事件，僵尸网络将很快将这些漏洞纳入武器库。

建议设备所有人尽快安装已修复的固件。另外，VDOO 在技术报告中已发布缓解措施。VDOO 专家还在开展该计划时从 Foscam IP 摄像头中找到了多个安全缺陷。

此外，360代码卫士推出免费的固件安全检测工具 (https://scanit.iot.360.net/)，能快速分析发现物联网设备固件中可能存在的安全风险和已知 CVE 漏洞，帮助企业及时发现并通过专家评估助力企业更好地解决摄像头等设备中的问题。

原文链接

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。