Axis vá 7 lỗ hổng nghiêm trọng trong 386 thiết bị

Camera IP Trục. IPCam

Theo một cố vấn an ninh được xuất bản bởi Axis Communications theo ID ACV-128401, 7 lỗ hổng đã được phát hiện trong Mạng Camera Axis cho phép thực thi lệnh từ xa. Các lỗ hổng đã được gán nhãn CVE; họ đang: CVE-2018-10658 , CVE-2018-10659 , CVE-2018-10660 , CVE-2018-10661 , CVE-2018-10662 , CVE-2018-10663 và CVE-2018-10664 . CVE-2018-10658 tự giải quyết vấn đề hỏng bộ nhớ trong nhiều kiểu máy ảnh IP Axis gây ra phản hồi lỗi từ chối dịch vụ bắt nguồn từ mã trong đối tượng được chia sẻ libdbus-send.so. CVE-2018-10659 giải quyết một vấn đề hỏng bộ nhớ khác gây ra sự cố DoS bằng cách gửi một lệnh thủ công gọi lại lệnh ARM không xác định UND. CVE-2018-10660 mô tả lỗ hổng chèn lệnh shell. CVE-2018-10661 đã mô tả một lỗ hổng kiểm soát truy cập bỏ qua. CVE-2018-10662 mô tả một lỗ hổng giao diện không an toàn được phơi bày. CVE-2018-10663 mô tả sự cố tính toán kích thước không chính xác trong hệ thống. Cuối cùng, CVE-2018-10664 mô tả sự cố hỏng bộ nhớ chung trong quy trình httpd của nhiều kiểu máy ảnh IP Axis.

Các lỗ hổng chưa được phân tích bởi CVE MITER chưa và vẫn đang chờ xử lý CVSS 3.0 nhưng Axis báo cáo rằng khi khai thác kết hợp, rủi ro gây ra là rất quan trọng. Theo đánh giá rủi ro trong báo cáo được công bố, kẻ tấn công phải có quyền truy cập mạng vào thiết bị để khai thác các lỗ hổng, nhưng không cần bất kỳ thông tin đăng nhập nào để có được quyền truy cập này. Theo đánh giá, các thiết bị có rủi ro tỷ lệ thuận với mức độ tiếp xúc của chúng. Các thiết bị tiếp xúc với Internet được tiếp xúc qua cổng chuyển tiếp của bộ định tuyến có nguy cơ cao khi các thiết bị trong mạng cục bộ được bảo vệ có nguy cơ khai thác tương đối thấp hơn.

Axis đã cung cấp một danh sách đầy đủ về sản phẩm bị ảnh hưởng và cũng đã phát hành một cập nhật bản vá cho phần sụn mà người dùng được khuyến nghị nâng cấp để ngăn chặn việc khai thác các lỗ hổng này. Ngoài ra, người dùng cũng được khuyến nghị không để thiết bị của họ tiếp xúc trực tiếp với các thiết lập chuyển tiếp cổng Internet và nên sử dụng AXIS Companion ứng dụng dành cho Windows, Android và iOS cung cấp quyền truy cập an toàn vào cảnh quay từ xa. Bảng IP nội bộ sử dụng ứng dụng lọc IP cũng được đề xuất để giảm thiểu rủi ro về các lỗ hổng bảo mật như vậy trong tương lai theo cách phòng ngừa.