Çinli şirket tarafından üretilen akıllı bir interkom ürünü olan E11’de bir düzineden fazla güvenlik açığı açıklandı. Akuvoks.
Claroty güvenlik araştırmacısı Vera Mens, “Güvenlik açıkları, saldırganların cihazın kamerasını ve mikrofonunu etkinleştirmek ve kontrol etmek, video ve görüntüleri çalmak veya bir ağ dayanağı elde etmek için uzaktan kod yürütmesine izin verebilir.” söz konusu teknik bir yazıda.
Akuvox E11, şirket tarafından web sitesinde “Yudumlamak [Session Initiation Protocol] villalar, evler ve apartmanlar için özel olarak tasarlanmış görüntülü diyafon.”
bu ürün listesi, ancak web sitesinden kaldırıldı ve bir hata mesajı görüntüleniyor: “Sayfa mevcut değil.” A enstantane fotoğraf Google tarafından yakalanan, sayfanın 12 Mart 2023 05:59:51 GMT kadar yakın bir tarihte yayında olduğunu gösteriyor.
Saldırılar, yerel alan ağı (LAN) içinde uzaktan kod yürütme veya E11’in kamera ve mikrofonunun uzaktan etkinleştirilmesi yoluyla ortaya çıkarak, düşmanın multimedya kayıtlarını toplamasına ve sızdırmasına olanak tanır.
Üçüncü bir saldırı vektörü, saklanan görüntüleri ve verileri indirmek için harici, güvenli olmayan bir dosya aktarım protokolü (FTP) sunucusundan yararlanır.
Sorunların en ciddi olanları şunlardır:
- CVE-2023-0344 (CVSS puanı: 9.1) – Akuvox E11, dropbear SSH sunucusunun özel bir sürümünü kullanıyor gibi görünüyor. Bu sunucu, varsayılan olarak resmi dropbear SSH sunucusunda olmayan güvensiz bir seçeneğe izin verir.
- CVE-2023-0345 (CVSS puanı: 9.8) – Akuvox E11 güvenli kabuk (SSH) sunucusu varsayılan olarak etkindir ve kök kullanıcı tarafından erişilebilir. Bu şifre kullanıcı tarafından değiştirilemez.
- CVE-2023-0352 (CVSS puanı: 9.1) – Akuvox E11 şifre kurtarma web sayfasına kimlik doğrulama olmadan erişilebilir ve bir saldırgan cihaz anahtar dosyasını indirebilir. Saldırgan daha sonra parolayı varsayılana sıfırlamak için bu sayfayı kullanabilir.
- CVE-2023-0354 (CVSS puanı: 9.1) – Akuvox E11 web sunucusuna herhangi bir kullanıcı kimlik doğrulaması olmadan erişilebilir ve bu, bir saldırganın hassas bilgilere erişmesinin yanı sıra bilinen varsayılan URL’lerle paket yakalamaları oluşturmasına ve indirmesine izin verebilir.
Endüstriyel ve IoT güvenlik şirketi, Akuvox’un o zamandan beri “kötü niyetli aktörlerin artık dosyaları numaralandıramaması için içeriğini listeleme yeteneğini” devre dışı bırakarak FTP sunucusu izinleri sorununu ele aldığını belirterek, 13 güvenlik sorununun çoğu bugüne kadar yama uygulanmadı.
Üçüncü Taraf SaaS Uygulamalarının Gizli Tehlikelerini Keşfedin
Şirketinizin SaaS uygulamalarına üçüncü taraf uygulama erişimiyle ilişkili risklerin farkında mısınız? Verilen izin türleri ve riskin nasıl en aza indirileceği hakkında bilgi edinmek için web seminerimize katılın.
Bulgular aynı zamanda ABD Siber Güvenlik ve Altyapı Güvenliği Teşkilatını (CISA) harekete geçirdi. serbest bırakmak geçen hafta kendi Endüstriyel Kontrol Sistemleri (ICS) danışmanlığı.
Ajans, “Bu güvenlik açıklarının başarılı bir şekilde kullanılması, hassas bilgilerin kaybına, yetkisiz erişime neden olabilir ve bir saldırgana tam yönetim kontrolü verebilir.” uyardı.
Yamaların olmaması durumunda, kapı telefonunu kullanan kuruluşlara, potansiyel uzaktan saldırıları azaltmak için güvenlik açıkları giderilene kadar telefonun internetten bağlantısını kesmeleri önerilir.
Ayrıca, yanal hareket saldırılarını önlemek için web arayüzünün güvenliğini sağlamak için kullanılan varsayılan parolanın değiştirilmesi ve “Akuvox cihazını kurumsal ağın geri kalanından ayırmanız ve izole etmeniz” önerilir.
Geliştirme, Wago’nun programlanabilir mantık denetleyicilerinin (PLC’ler) birçoğu için yamalar yayınlamasıyla gelir. adres ikisi tam sistem uzlaşması sağlamak için kullanılabilen dört güvenlik açığı (CVE-2022-45137, CVE-2022-45138, CVE-2022-45139 ve CVE-2022-45140).