10.03.2023 Akuvox E11 позиционируется как видеодомофон, но на самом деле это гораздо больше. Подключенное к сети устройство открывает двери здания, обеспечивает прямую трансляцию видео и микрофона, делает снимок и сохраняет его каждый раз, когда кто-то проходит мимо, и регистрирует каждый вход и выход в режиме реального времени. Поисковая система Censys по устройствам показывает, что примерно 5000 таких устройств подключены к Интернету, но, вероятно, есть еще много таких устройств, которые Censys не может увидеть по разным причинам. Оказывается, что это всемогущее, всезнающее устройство пронизано дырами, которые предоставляют множество возможностей для передачи конфиденциальных данных и мощных возможностей в руки злоумышленников, которые тратят время на анализ его внутренней работы. Это именно то, что сделали исследователи из охранной фирмы Claroty. Выводы достаточно серьезны, чтобы любой, кто использует одно из этих устройств дома или в здании, должен немедленно приостановить чтение этой статьи, отключить свой E11 от Интернета и оценить, что делать дальше. 13 уязвимостей, обнаруженных Claroty, включают отсутствие аутентификации для критически важных функций, отсутствующую или ненадлежащую авторизацию, жестко закодированные ключи, которые шифруются с использованием доступных, а не криптографически хэшированных ключей, и передачу конфиденциальной информации неавторизованным пользователям. Какими бы серьезными ни были уязвимости, их угроза усугубляется неспособностью Akuvox — ведущего китайского поставщика интеллектуальных систем внутренней связи и дверных замков - ответить на многочисленные сообщения от Claroty, координационного центра CERT и Агентства по кибербезопасности и инфраструктурной безопасности в течение шести недель. Claroty и CISA публично опубликовали свои выводы в четверг здесь и далее. Все уязвимости, кроме одной, остаются незакрытыми. Представители Akuvox не ответили на два электронных письма с просьбой прокомментировать эту статью. Что это устройство делает в моем офисе? Исследователи Claroty впервые наткнулись на E11, когда переехали в офис с предустановленным устройством у двери. Учитывая его доступ к приходам и уходам сотрудников и посетителей, а также его способность шпионить и открывать двери в режиме реального времени, они решили заглянуть под капот. Первый "красный флаг", обнаруженный исследователями: изображения, сделанные каждый раз, когда у двери обнаруживалось движение, отправлялись по незашифрованному FTP на сервер Akuvox в каталог, который любой мог просмотреть и оттуда загрузить изображения, отправленные другими клиентами. “Мы были очень удивлены, когда начали исследование и увидели FTP”, - сказал в интервью Амир Премингер, вице-президент по исследованиям исследовательской группы Claroty Team82. “Мы никогда не предполагали, что обнаружим FTP в чистом виде. Сначала мы заблокировали устройство, отрезали его от всего, поместили на отдельный сервер и использовали как автономное устройство. Мы находимся в процессе его замены”. Пока продолжался анализ, поведение FTP-сервера изменилось. Каталог больше нельзя просматривать, поэтому, предположительно, его также нельзя загрузить. Однако значительная угроза продолжает существовать, поскольку загрузки по FTP не шифруются. Это означает, что любой, кто может отслеживать соединение между E11 и Akuvox, может перехватывать загрузки. Еще одним важным открытием исследователей стал недостаток в интерфейсе, который позволяет владельцу использовать веб-браузер для входа на устройство, управления им и доступа к прямым трансляциям. Хотя для доступа к интерфейсу требуются учетные данные, Claroty обнаружила скрытые маршруты, которые давали доступ к некоторым веб-функциям без пароля. Уязвимость, отслеживаемая как CVE-2023-0354, работает против устройств, которые подключены к Интернету с использованием статического IP-адреса. Пользователи делают это, чтобы удаленно подключиться к устройству с помощью браузера. Это не единственная уязвимость, которая допускает несанкционированный удаленный доступ к E11. Устройство также работает с телефонным приложением SmartPlus, которое доступно для Android и iOS. Это позволяет осуществлять удаленный доступ, даже когда E11 не подключен напрямую к Интернету, а вместо этого находится за NAT. SmartPlus взаимодействует с домофоном, используя протокол инициирования сеанса SIP, открытый стандарт, используемый для связи в режиме реального времени, такой как голосовые и видеозвонки, мгновенные сообщения и игры. Владельцы E11 могут использовать приложение для совершения звонков, которые дают доступ к внутренней связи. Упрощенная диаграмма, показывающая, как Smart Plus использует SIP для вызова E11 ((Enlarge) Чтобы упростить использование приложения, E11 автоматически регистрируется на центральном SIP-сервере, который координирует соединение между приложением и домофоном. Анализ Claroty показал, что SIP-сервер не проверяет, авторизован ли пользователь SmartPlus для подключения к определенному E11. В результате любой пользователь с установленным приложением может подключиться к любому E11, подключенному к Интернету, даже если он находится за брандмауэром NAT. Оттуда неавторизованный пользователь может просматривать и прослушивать видео и аудио в режиме реального времени. Ева звонит по E11, принадлежащему учетной записи, принадлежащей Бобу “Мы протестировали это с помощью домофона в нашей лаборатории и еще одного у входа в офис”, - написала исследователь Claroty Вера Менс в отчете, опубликованном в четверг. “Каждый домофон связан с разными учетными записями и разными сторонами. Фактически, мы смогли активировать камеру и микрофон, сделав SIP-звонок с учетной записи лаборатории на домофон у двери ”. И это еще не все Еще одна критическая уязвимость, обнаруженная Claroty, позволяет злоумышленникам вводить команды в устройство. Эта возможность возникает из-за неспособности очистить имена файлов, используемых для изображений профиля, чтобы убедиться, что они не содержат строк, используемых в командах. Злоумышленники могут получить первоначальный доступ к устройству, используя уязвимость отсутствующей аутентификации в веб-интерфейсе, а затем воспользоваться уязвимостью внедрения команд для загрузки файла конфигурации, содержащего пароли для разблокировки дополнительных возможностей. Вместо того чтобы хэшировать пароли, как это принято в стандартной практике, E11 шифрует их с помощью ключа, который хранится в встроенном ПО. Как только пароль расшифрован, субъект угрозы может использовать его для установки веб-оболочки, которая позволяет устанавливать дополнительные вредоносные программы. Как отмечалось ранее, уязвимости серьезны. Они не только дают удаленным злоумышленникам возможность шпионить за пользователями, но и позволяют им открывать двери. Эти уязвимости почти наверняка будут представлять собой нарушения нормативных требований для пользователей в таких областях, как здравоохранение. Пользователям E11 следует серьезно подумать о замене своих устройств, учитывая серьезность уязвимостей и неспособность Akuvox отреагировать на многочисленные попытки раскрытия информации Claroty и организациями CERT. Как минимум, эти устройства должны быть разделены в сети, недоступной для Интернета. Это лишит пользователей какой-либо возможности получить доступ к устройству через Интернет, что, предположительно, является основным преимуществом, но все равно позволит использовать устройство внутри локальной сети Источник: https://arstechnica.com/information...r-device-before-reading-youll-thank-us-later/
