Çinli şirket tarafından üretilen akıllı bir interkom ürünü olan E11’de bir düzineden fazla güvenlik açığı açıklandı. vox değil.
Claroty güvenlik araştırmacısı Vera Mens teknik bir yazıda, “Güvenlik açıkları, saldırganların cihazın kamerasını ve mikrofonunu etkinleştirmek ve kontrol etmek, video ve görüntüleri çalmak veya bir ağ dayanağı elde etmek için uzaktan kod yürütmesine izin verebilir.” Dedi.
Akuvox E11, şirket tarafından web sitesinde “SIP” olarak tanımlanmaktadır. [Session Initiation Protocol] villalar, evler ve apartmanlar için özel olarak tasarlanmış görüntülü diyafon.”
Ancak ürün listesi web sitesinden kaldırıldı ve bir hata mesajı görüntülendi: “Sayfa mevcut değil.” Google tarafından yakalanan bir anlık görüntü, sayfanın 12 Mart 2023 05:59:51 GMT kadar yakın bir tarihte yayında olduğunu gösteriyor.
Saldırılar, yerel alan ağı (LAN) içinde uzaktan kod yürütme veya E11’in kamera ve mikrofonunun uzaktan etkinleştirilmesi yoluyla ortaya çıkarak, düşmanın multimedya kayıtlarını toplamasına ve sızdırmasına olanak tanır.
Üçüncü bir saldırı vektörü, saklanan görüntüleri ve verileri indirmek için harici, güvenli olmayan bir dosya aktarım protokolü (FTP) sunucusundan yararlanır.
Sorunların en ciddi olanları şunlardır:
- CVE-2023-0344 (CVSS puanı: 9.1) – Akuvox E11, dropbear SSH sunucusunun özel bir sürümünü kullanıyor gibi görünüyor. Bu sunucu, varsayılan olarak resmi dropbear SSH sunucusunda olmayan güvensiz bir seçeneğe izin verir.
- CVE-2023-0345 (CVSS puanı: 9.8) – Akuvox E11 güvenli kabuk (SSH) sunucusu varsayılan olarak etkindir ve kök kullanıcı tarafından erişilebilir. Bu şifre kullanıcı tarafından değiştirilemez.
- CVE-2023-0352 (CVSS puanı: 9.1) – Akuvox E11 şifre kurtarma web sayfasına kimlik doğrulama olmadan erişilebilir ve bir saldırgan cihaz anahtar dosyasını indirebilir. Saldırgan daha sonra parolayı varsayılana sıfırlamak için bu sayfayı kullanabilir.
- CVE-2023-0354 (CVSS puanı: 9.1) – Akuvox E11 web sunucusuna herhangi bir kullanıcı kimlik doğrulaması olmadan erişilebilir ve bu, bir saldırganın hassas bilgilere erişmesinin yanı sıra bilinen varsayılan URL’lerle paket yakalamaları oluşturmasına ve indirmesine izin verebilir.
Endüstriyel ve IoT güvenlik şirketi, Akuvox’un o zamandan beri “kötü niyetli aktörlerin artık dosyaları numaralandıramaması için içeriğini listeleme yeteneğini” devre dışı bırakarak FTP sunucusu izinleri sorununu ele aldığını belirterek, 13 güvenlik sorununun çoğu bugüne kadar yama uygulanmadı.
Üçüncü Taraf SaaS Uygulamalarının Gizli Tehlikelerini Keşfedin
Şirketinizin SaaS uygulamalarına üçüncü taraf uygulama erişimiyle ilişkili risklerin farkında mısınız? Verilen izin türleri ve riskin nasıl en aza indirileceği hakkında bilgi edinmek için web seminerimize katılın.
KOLTUĞUNUZU AYIRTIN
Bulgular aynı zamanda ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) geçen hafta kendi Endüstriyel Kontrol Sistemleri (ICS) danışmanlığını yayınlamasına neden oldu.
Ajans, “Bu güvenlik açıklarının başarılı bir şekilde kullanılması, hassas bilgilerin kaybolmasına, yetkisiz erişime neden olabilir ve bir saldırgana tam yönetim kontrolü verebilir” uyarısında bulundu.
Yamaların olmaması durumunda, kapı telefonunu kullanan kuruluşlara, potansiyel uzaktan saldırıları azaltmak için güvenlik açıkları giderilene kadar telefonun internetten bağlantısını kesmeleri önerilir.
Ayrıca, yanal hareket saldırılarını önlemek için web arayüzünün güvenliğini sağlamak için kullanılan varsayılan parolanın değiştirilmesi ve “Akuvox cihazını kurumsal ağın geri kalanından ayırmanız ve izole etmeniz” önerilir.
Geliştirme, Wago’nun ikisi olmak üzere dört güvenlik açığını (CVE-2022-45137, CVE-2022-45138, CVE-2022-45139 ve CVE-2022-45140) gidermek için programlanabilir mantık denetleyicilerinin (PLC’ler) birçoğu için yamalar yayınlamasıyla geldi. tam sistem uzlaşması elde etmek için kullanılabilir.