Checkmarx : ali vas neznanci opazujejo skozi vaše varnostne kamere?
Checkmarx, ponudnik istoimene palete rešitev za odkrivanje in odpravljanje varnostnih pomanjkljivosti v programski kodi, katerega v Sloveniji uradno zastopa Mariborsko podjetje REAL security,
opozarja na ranljivosti v varnostnih kamerah z IP funkcionalnostmi, torej takih, ki se povezujejo v Internet.
Strokovnjaki podjetja Checkmarx so analizirali IP varnostne kamere podjetij Loftek ter VStarcam in v njih odkrili nekaj novih ranljivosti ter variacije v IP kamerah že prej odkritih pomanjkljivosti. Ali vi morda veste - katere vse kamere uporabljate v tem trenutku doma ali v podjetju? Ste zares seznanjeni ne le z njihovimi zmogljivostmi, temveč tudi z morebitnimi pomanjkljivostmi ali opozorili? Namreč, kamere različnih proizvajalcev pogosto uporabljajo podobne sestavne dele in podobno programsko opremo ali celo iste knjižnice. Pomeni, da morda te ranljivosti niso omejene zgolj na dva preučena modela in zgolj na dva proizvajalca.
Loftek CXS 2200 - v tej kameri so odkrili naslednje varnostne pomanjkljivosti programske kode:
- zloraba občutljivosti na med-spletna povpraševanja "cross-site request forgery" (CSRF) lahko napadalcu omogoči kreiranje novih uporabniških računov z administratorskimi pravicami,
- ponarejanje strežniških povpraševanj "server-side request forgery" (SSRF) omogoča odpiranje poti za DoS napade in s tem posledično napadalcu možnosti za razkritje drugih naprav v IP omrežju,
- občutljivost na med-spletne ukazne skripte "cross-site scripting" (XSS) omogoča poganjanje neavtorizirane programske kode,
- nezadostna zaščita podatkov v datotekah.
VStarcam C7837WIP - v tej kameri so odkrili naslednje varnostne pomanjkljivosti programske kode:
- občutljivost na med-spletne ukazne skripte "cross-site scripting" (XSS) omogoča poganjanje neavtorizirane programske kode,
- občutljivost na neavtorizirano preusmeritev "open redirect" lahko recimo preusmerja na phishing stran in pretenta uporabnika v razkritje uporabniškega imena in gesla,
- občutljivost na vsiljeno proženje ponastavitve na tovarniško privzete vrednosti.
Obe kameri sta občutljivi na ponarejanje HTTP odzivov, kar lahko napadalcu dodatno olajša poganjanje XSS kode, med-uporabniške manipulacije "cross-user defacement", onesnaževanje medpomnilnika in prevzem nadzora nad spletno stranjo.
Nikakor se ne nadejajte, da so to zgolj pomanjkljivosti programske kode, ki za končnega lastnika hiše ne pomenijo kaj dosti če kamera "gleda" samo na dvorišče. S temi pomanjkljivosti se lahko neznanec seznani z vašimi dnevnimi aktivnostmi in navadami, pride do podatkov e-poštnega predala, vdre v brezžično omrežje, pridobi nadzor nad drugimi napravami v istem omrežju, in morda še kaj drugega.
Podrobnosti si lahko preberete v Checkmarx blog članku na spodnjem naslovu, ter v nekaj člankih, povezavam do njih lahko sledite iz medijskega dela spletne strani Checkmarx: https://www.checkmarx.com/company/company-news/.
Polno poročilo analize: https://info.checkmarx.com/wp-exposing-wireless-ip-camera-security-flaws
Avtor / prevod: Robert Lubej
Povezava do izvorne novice:
https://www.checkmarx.com/2017/08/02/watched-connected-cameras/
### ### ###
O podjetju Checkmarx
Checkmarx je uveljavljeni ponudnik orodij za aplikacijske razvojne ekipe, s pomočjo katerih lahko pravočasno izdelajo aplikacije, brez da bi zaradi tesnih rokov žrtvovali pomembne varnostne zahteve. Podjetje je bilo ustanovljeno leta 2006 z vizijo zagotavljanja celovite rešitve za avtomatizirano pregledovanje programske kode s poudarkom na varnostni odpornosti končnega produkta. Checkmarx razume izvorno kodo v 18 različnih programskih jezikih, predvsem pa zna odkrivati varnostne pomanjkljivosti v vseh teh dialektih.
SAST orodja za varnostno analizo programske kode so učinkovita predvsem zato, ker je odkrivanje in odpravljanje varnostnih pomanjkljivosti precej enostavnejše predvsem pa cenejše v razvojnem delu življenjskega cikla aplikacije, kot pa v testnem obdobju ali celo, kar je najhujše, šele ko je aplikacija že v rabi. Checkmarx nam poleg same varnostne luknje, ki se običajno vleče skozi daljši del kode, običajno pokaže tudi točno mesto, kjer jo je najenostavneje odpraviti tako, da bo popravek imel vpliv na celotno verigo.
Več o podjetju najdete na spletnih straneh: https://www.checkmarx.com/
Dodatne informacije:
Robert Lubej
REAL security d.o.o.
Žolgarjeva ulica 17
2000 Maribor
tel.: 02 234 74 74