Maaaring payagan ng mga kakulangan ng firmware ng D-Link ang IP video stream spying

Kung nagpapatakbo ka ng isang bangko at gumamit ng IP video camera mula sa D-Link, maaaring gusto mong bigyang-pansin ito.

Ang isang bilang ng mga surveillance video camera na nakabatay sa IP ginawa ng D-Link ang mga kahinaan ng firmware na maaaring magpapahintulot sa isang magsasalakay na maharang ang stream ng video, ayon sa mga mananaliksik sa seguridad.

Core Security, isang kumpanya na nakabase sa Boston na dalubhasa sa detection at pananaliksik na kahinaan, na inilathala sa Lunes mga detalye ng limang kahinaan sa firmware ng D-Link, na nababalot sa hindi bababa sa 14 ng mga produkto nito.

[Karagdagang pagbabasa: Ang pinakamahusay na mga protektahan ng paggulong para sa iyong mga mahal electronics]

D-Link ay gumagawa ng iba't ibang mga camera na konektado sa Internet na ibinebenta nito sa mga negosyo at mga mamimili. Ang mga camera ay maaaring mag-record ng mga imahe at video at kontrolado sa pamamagitan ng mga control panel na batay sa Web. Maaaring matingnan ang mga live na feed sa ilang mga aparatong mobile.

Ang isa sa mga mahihinang modelo, ang DCS-5605 / DCS-5635, ay may tampok na paggalaw ng paggalaw, kung saan ang D-Link ay nagmumungkahi sa mga materyales sa marketing nito para sa mga bangko, mga ospital at mga tanggapan.

Ang mga mananaliksik ng Core Security ay natagpuan na posible na ma-access nang walang pagpapatotoo ng isang live na stream ng video sa pamamagitan ng RTSP (real time streaming protocol) pati na rin ang isang ASCII output ng stream ng video sa mga apektadong modelo. Ang RTSP ay isang application-level protocol para sa paglilipat ng real-time na data, ayon sa Internet Engineering Task Force.

Ang mga mananaliksik ay natagpuan din ang problema sa web-based na control panel na magpapahintulot sa isang hacker na mag-input ng mga arbitrary na utos. Sa isa pang error, ang mga kredensyal sa pag-login na hard-code ng D-Link sa firmware na "epektibong nagsisilbing backdoor, na nagpapahintulot sa mga remote attackers na ma-access ang RTSP video stream," ayon sa Core Security sa advisory nito.

sa isang post sa seksyon ng Buong Pagsisiwalat ng Seclists.org, kasama ang isang listahan ng mga kilalang mga apektadong produkto, na ang ilan ay na-phased out ng D-Link.

Core Security na inabisuhan D-Link ng problema noong Marso 29, ayon sa isang talaan ng pakikipag-ugnayan ng dalawang kumpanya na kasama sa pag-post sa Buong Pagbubunyag. Ang log, na nakasulat sa pamamagitan ng Core, ay naglalaman ng mga kagiliw-giliw na detalye kung paanong ang dalawang kumpanya ay tumutugma at tila may ilang mga hindi pagkakasunduan. Ayon sa Core, sinabi ng D-Link na mayroong "hindi nai-publish na programa ng bounty para sa mga vendor ng seguridad." Maraming mga kumpanya ay may mga programa ng bug na nagbibigay ng gantimpala sa mga mananaliksik na may cash o iba pang mga insentibo para sa paghahanap ng mga isyu sa seguridad sa kanilang mga produkto at ipaalam ito bago ipalabas ng publiko ang mga detalye.

Sa paligid ng Marso 20, hiniling ng D-Link na mag-sign ng Core Security ang isang "memo ng pag-unawa" bilang bahagi ng programa, na tinanggihan ni Core. Ang mga tuntunin ng memo ay hindi inilarawan. Sinabi ni Core sa D-Link na "ang pagtanggap ng pera mula sa mga vendor ay maaaring may bias sa pagtingin sa ulat."

Ang dalawang kumpanya ay may isa pang menor de edad run-in. Sinabi ng D-Link sa Core na ilalabas nito ang mga patch at patnubay upang ayusin ang mga isyu sa D-Link Support Forum. D-Link ay maghihintay sa isang buwan bago gumawa ng isang public announcement.

Core Security ay hindi tulad ng mungkahing iyon. Noong Miyerkules, tinanong ni Core ang D-Link "para sa isang paglilinaw hinggil sa petsa ng paglabas ng D-Link at ipapaalam na ang pag-aalis ng mga pag-aayos sa isang pribadong closed group at / o saradong forum o listahan ay hindi katanggap-tanggap."

D-Link's forum isang patlang ng pag-login, ngunit lumilitaw na maaaring makita ng sinuman ang maraming mga post nang hindi nagrerehistro. D-Link ay bumalik sa isang araw mamaya at sinabi na ang mga patch ay handa at ipaskil sa web site nito "sa susunod na mga araw," sumulat si Core.

D-Link ay hindi agad tumugon sa mga kahilingan para sa komento.

Ang Core Security ay nagpahayag ng mga mananaliksik na sina Francisco Falcon, Nahuel Riva, Martin Rocha, Juan Cotta, Pablo Santamaria at Fernando Miranda sa paghahanap ng mga problema.