CVE-2020-6769

Podatność (CWE-306 — Missing Authentication for Critical Function) polega na braku mechanizmu uwierzytelnienia chroniącego krytyczne funkcje API lub interfejsu konfiguracyjnego VSG. Atakujący zdalnie, bez żadnych poświadczeń, może wysyłać żądania sieciowe do podatnego urządzenia i pobierać lub nadpisywać dowolne dane konfiguracyjne. W przypadku urządzeń DIVAR IP 2000 i DIVAR IP 5000 warunkiem koniecznym jest dostępność portu 8023 przez firewall urządzenia. Zakres ataku obejmuje wszystkie kamery zarządzane przez VSG oraz powiązaną infrastrukturę zapisu.

Atakujący może przejąć pełną kontrolę nad konfiguracją systemu monitoringu — odczytywać lub modyfikować ustawienia wszystkich kamer podłączonych do VSG, zakłócać lub przerywać transmisję wideo na żywo oraz dostęp do nagrań archiwalnych, a także manipulować powiązaną przestrzenią dyskową przeznaczoną do zapisu. Skutkuje to naruszeniem poufności, integralności i dostępności całej infrastruktury wideo.

Należy zaktualizować Bosch Video Streaming Gateway do wersji wyższych niż wskazane granice podatnych wydań (powyżej 6.45.08, 6.44.022, 6.43.0023). Dla DIVAR IP 2000 i DIVAR IP 5000 należy upewnić się, że port 8023 jest zablokowany w firewall urządzenia do czasu zastosowania patcha. Szczegółowe instrukcje i pliki aktualizacyjne dostępne są w oficjalnym biuletynie bezpieczeństwa Bosch PSIRT pod adresem: https://psirt.bosch.com/security-advisories/BOSCH-SA-260625-BT.html

Bosch Video Streaming Gateway (VSG) w wersjach: 6.45 <= 6.45.08, 6.44 <= 6.44.022, 6.43 <= 6.43.0023 oraz 6.42.10 i starszych. Bosch DIVAR IP 3000, DIVAR IP 7000 i DIVAR IP all-in-one 5000 z zainstalowaną podatną wersją VSG wraz z BVMS. Bosch DIVAR IP 2000 w wersjach <= 3.62.0019 oraz DIVAR IP 5000 w wersjach <= 3.80.0039, jeżeli port 8023 jest otwarty w firewall urządzenia.

Podatność wymaga jedynie dostępu sieciowego do urządzenia — brak konieczności interakcji użytkownika ani posiadania konta. W środowiskach, gdzie VSG lub urządzenia DIVAR są eksponowane na sieć zewnętrzną lub segmenty nieizolowane, ryzyko jest szczególnie wysokie. Dla DIVAR IP 2000/5000 kluczową kontrolą łagodzącą jest weryfikacja reguł firewall dotyczących portu 8023.