Siber güvenlik araştırmacıları, internete bağlı popüler bir güvenlik kamerasının, tehdit aktörlerinin kayıtlı içeriğe erişmesine ve uç noktayı daha fazla tehlikeye atmak için kötü amaçlı kod yürütmesine izin verebilecek bir kusura karşı kalıcı olarak savunmasız olduğunu keşfetti.
Güvenlik firması Bitdefender, bugün erken saatlerde yayınlanan bir araştırma raporunda, araştırmacılarının 2019 yılında Wyze Cam IoT kamerayı incelemeye başladığını ve birkaç güvenlik açığı tespit ettiğini belirtiyor.
CVE-2019-9564 olarak izlenen hatalardan biri, tehdit aktörlerinin oturum açma kimlik bilgilerini bilmeden cihazda oturum açmasına izin veren bir kimlik doğrulama atlamasıdır.
SD karta erişme
Raporun açıkladığı gibi, güvenlik açığı, baktığı yönü değiştirme, kamerayı açıp kapatma ve microSD karta kaydı devre dışı bırakma dahil olmak üzere cihazın tam kontrolünü ele geçirmek için kötüye kullanılabilir.
Araştırmacılar, “Ancak canlı ses ve video akışını göremiyoruz, çünkü bu şifreli ve ‘enr’ değeri bilinmiyor. uzaktan kod yürütülmesine yol açar.”
Yığın tabanlı bir arabellek taşmasının neden olduğu uzaktan kontrol yürütme hatası, CVE-2019-12266 olarak izlenir. Raporda, “IOCtl’yi 0x2776 kimliğiyle işlerken, aygıt, içeriği yığına kopyalamadan önce hedef arabelleğin yeterince uzun olup olmadığını kontrol etmez” diyor. “Bu güvenlik açığından yararlanmak basittir.”
SD kartın içeriğine kimliği doğrulanmamış erişim söz konusu olduğunda, araştırmacılar bunun web sunucusu aracılığıyla 80 numaralı bağlantı noktasında kimlik doğrulama olmadan dinlenebileceğini söylüyor.
“Bunun nedeni, bir SD kart takıldıktan sonra, web sunucusu tarafından sunulan www dizininde kart takma dizinine bir sembolik bağlantının otomatik olarak oluşturulmasıdır.”
Rapor, her iki güvenlik açığının da yamalar yoluyla giderildiğini söylese de (biri Eylül 2019’da ve diğeri Kasım 2020’de), “satıcı tarafında lojistik ve donanım sınırlamaları”nın şirketin ürünün 1. sürümünü durdurmasıyla sonuçlandığını ekliyor.
Araştırmacılar, müşterilerin donanımı mümkün olan en kısa sürede tamamen terk etmeleri gerektiği sonucuna vararak, mevcut sahipleri “kalıcı bir güvenlik açığı penceresinde” bıraktığını açıkladı.
