Asis novērš 7 kritiskās ievainojamības 386 ierīcēs

Axis IP kamera. IPCam

Saskaņā ar a drošības konsultācijas Axis Communications publicēja ar ID ACV-128401, Axis Camera tīklā tika atklātas 7 ievainojamības, kas ļauj attālināti izpildīt komandas. Ievainojamībām ir piešķirtas CVE etiķetes; viņi ir: CVE-2018-10658 , CVE-2018-10659 , CVE-2018-10660 , CVE-2018-10661 , CVE-2018-10662 , CVE-2018-10663 , un CVE-2018-10664 . CVE-2018-10658 ir saistīta ar atmiņas bojājumu problēmu vairākos Axis IP kameru modeļos, kas izraisa atteikumu sniegt pakalpojumu avārijas reakciju, kas rodas no koda libdbus-send.so koplietotajā objektā. CVE-2018-10659 tiek novērsta vēl viena atmiņas bojājuma problēma, kas izraisa DoS avāriju, nosūtot izveidotu komandu, kas atsauc UND nenoteiktu ARM instrukciju. CVE-2018-10660 apraksta čaulas komandu injicēšanas ievainojamību. CVE-2018-10661 aprakstīja piekļuves kontroles ievainojamības apeju. CVE-2018-10662 aprakstīta pakļauta nedroša saskarnes ievainojamība. CVE-2018-10663 aprakstīta nepareiza lieluma aprēķināšanas problēma sistēmā. Visbeidzot, CVE-2018-10664 apraksta vispārēju atmiņas bojājuma problēmu vairāku Axis IP kameru modeļu httpd procesā.

Ievainojamības nav analizējusi CVE MITER vēl un vēl gaida CVSS 3.0 pakāpes, bet Axis ziņo, ka, lietojot tos kopā, radītais risks ir kritisks. Saskaņā ar riska novērtējumu publicētajā ziņojumā uzbrucējam ir jāiegūst tīkla piekļuve ierīcei, lai izmantotu ievainojamības, taču viņam nav nepieciešami nekādi akreditācijas dati, lai iegūtu šo piekļuvi. Saskaņā ar novērtējumu ierīces ir pakļautas riskam proporcionāli to iedarbībai. Ierīcēm, kas vērstas uz internetu, kas pakļautas, izmantojot maršrutētāja portu uz priekšu, ir liels risks, ka aizsargāta vietējā tīkla ierīcēm ir salīdzinoši mazāks izmantošanas risks.

Axis ir iesniedzis pilnu programmas sarakstu ietekmētie produkti un ir izlaidusi arī a plākstera atjauninājums programmaparatūru, uz kuru lietotāji ir jāatjaunina, lai novērstu šo ievainojamību izmantošanu. Turklāt lietotājiem ieteicams arī nepakļaut savas ierīces tieši interneta portu pārsūtīšanas iestatījumiem, un viņiem ieteicams izmantot AXIS pavadonis lietojumprogramma Windows, Android un iOS, kas nodrošina drošu piekļuvi videomateriāliem attālināti. Tiek ieteikta arī iekšējā IP tabula, izmantojot IP filtrēšanas lietojumprogrammu, lai preventīvi samazinātu šādu ievainojamību risku nākotnē.