Специалисты компании VDOO продолжают заниматься изучением безопасности камер наблюдения, в рамках внутреннего проекта Project Vizavis. На этот раз исследователи обнаружили серьезные проблемы в устройствах шведской компании Axis Communications. В своем докладе, к которому приложен proof-of-concept эксплоит, эксперты подробно описывают семь уязвимостей. Будучи использованы вместе, они позволяют удаленному атакующему полностью перехватить контроль над проблемным устройством: CVE-2018-10658 — отказ в работе процесса /bin/ssid; CVE-2018-10659 — отказ в работе процесса /bin/ssid; CVE-2018-10660 — shell-инъекция; CVE-2018-10661 — обход авторизации; CVE-2018-10662 — неограниченный доступ dbus для пользователей функциональности .srv; CVE-2018-10663 — утечка данных в процессе /bin/ssid; CVE-2018-10664 — отказ в работе процесса httpd. В VDOO подчеркивают: узнав IP-адрес камеры, атакующие имеют возможность получить доступ к стриму с камеры, остановить его, заставить датчики движения «ослепнуть», подменить прошивку, сделать устройство частью ботнета, а затем использовать для DDoS-атак, майнинга и так далее. Пока, по данным VDOO, попыток эксплуатации обнаруженных проблем зафиксировано не было. К счастью, в отличие от многих других производителей, представители Axis Communications отреагировали на предупреждение специалистов и уже выпустили патчи для всех уязвимых устройств. Кроме того, компания опубликовала список уязвимых моделей камер и прошивок (PDF). Учитывая, что новые эксплоиты для IoT-устройств очень быстро берут на вооружение ботнеты, пользователям рекомендуется установить обновления как можно скорее. Источник новости - google.com