CVE-2019-10256

Obejście uwierzytelnienia w kamerach VIVOTEK IPCam

CVSS 9.8v3.1pub. 2019-09-10upd. 2024-11-21

W kamerach IP firmy VIVOTEK wykryto krytyczną podatność umożliwiającą obejście mechanizmu uwierzytelnienia (authentication bypass). Atakujący bez żadnych uprawnień może uzyskać pełny dostęp do urządzenia przez sieć, co stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury monitoringu.

▸ Pokaż oryginał (EN)

An authentication bypass vulnerability in VIVOTEK IPCam versions prior to 0x13a was found.

🤖 Analiza AI

Jak działa

Podatność polega na wadliwej implementacji mechanizmu uwierzytelnienia w oprogramowaniu układowym (firmware) kamer VIVOTEK IPCam w wersjach wcześniejszych niż 0x13a. Nieuwierzytelniony atakujący zdalnie, bez interakcji użytkownika, może ominąć kontrolę dostępu i uzyskać nieuprawniony dostęp do funkcji urządzenia. Szczegółowy mechanizm techniczny podatności nie został upubliczniony w dostępnym opisie.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem — potencjalnie włączając w to dostęp do strumienia wideo, konfiguracji urządzenia oraz możliwość modyfikacji ustawień lub wykorzystania kamery jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy zaktualizować firmware kamer VIVOTEK do wersji 0x13a lub nowszej. Szczegółowe informacje i pliki aktualizacji dostępne są w komunikacie bezpieczeństwa producenta VVTK-SA-2019-001 pod adresem: http://download.vivotek.com/downloadfile/support/cyber-security/vvtk-sa-2019-001-v1.pdf. Zaleca się również ograniczenie dostępu sieciowego do interfejsów zarządzania kamerami wyłącznie do zaufanych hostów.