Windows

Las fallas de firmware de D-Link podrían permitir el espionaje de transmisión de video IP

Take Back Your Power 2017

Take Back Your Power 2017
Anonim

Si ejecuta un banco y utiliza una cámara de video IP de D-Link, le conviene prestar atención a esto.

Varias cámaras de video de vigilancia basadas en IP hecho por D-Link tiene vulnerabilidades de firmware que podrían permitirle a un atacante interceptar el flujo de video, según investigadores de seguridad.

Core Security, una compañía con sede en Boston que se especializa en detección e investigación de vulnerabilidades, publicó el lunes detalles de cinco vulnerabilidades en el firmware de D-Link, que está incluido en al menos 14 de sus productos.

[Más información: los mejores protectores contra sobretensiones para sus costosos productos electrónicos]

D-Link fabrica una variedad de cámaras conectadas a Internet que vende a empresas y consumidores. Las cámaras pueden grabar imágenes y videos y ser controladas a través de paneles de control basados ​​en la Web. Los feeds en vivo se pueden ver en algunos dispositivos móviles.

Uno de los modelos vulnerables, el DCS-5605 / DCS-5635, tiene una función de detección de movimiento, lo que D-Link sugiere en sus materiales de marketing sería bueno para los bancos, hospitales y oficinas.

Los investigadores de Core Security descubrieron que era posible acceder sin autenticación a un flujo de video en vivo a través del RTSP (protocolo de transmisión en tiempo real) y una salida ASCII de un flujo de video en los modelos afectados. RTSP es un protocolo de nivel de aplicación para transferir datos en tiempo real, según el Grupo de trabajo de ingeniería de Internet.

Los investigadores también encontraron un problema con el panel de control basado en la web que permitiría a un hacker ingresar comandos arbitrarios. En otro error, las credenciales de inicio de sesión de D-Link en el firmware "sirven como puerta trasera, lo que permite a los atacantes remotos acceder a la transmisión de video RTSP", dijo Core Security en su aviso.

Se describen los detalles técnicos en una publicación en la sección Divulgación completa de Seclists.org, junto con una lista de los productos afectados conocidos, algunos de los cuales han sido eliminados por D-Link.

Core Security notificó a D-Link el problema el 29 de marzo, de acuerdo con un registro de la interacción de las dos compañías incluido en la publicación de la Divulgación completa. El registro, escrito por Core, contiene detalles interesantes de cómo las dos compañías se correspondían y aparentemente tenía un par de desacuerdos.

Según Core, D-Link dijo que tenía un "programa de recompensas no publicado para vendedores de seguridad". Muchas empresas tienen programas de errores que recompensan a los investigadores con efectivo u otros incentivos para encontrar problemas de seguridad en sus productos e informarlos antes de publicar los detalles.

Alrededor del 20 de marzo, D-Link solicitó a Core Security que firmara un "memorando de entendimiento" como parte del programa, que Core rechazó. Los términos de la nota no fueron descritos. Core le dijo a D-Link que "recibir dinero de los proveedores puede sesgar la vista del informe".

Las dos compañías tuvieron otro robo menor. D-Link le dijo a Core que lanzaría los parches y la guía para solucionar los problemas en el Foro de soporte de D-Link. D-Link esperaría un mes antes de hacer un anuncio público.

A Core Security no le gustó esa sugerencia. El miércoles pasado, Core le pidió a D-Link "una aclaración sobre la fecha de lanzamiento de D-Link y notifica que liberar arreglos a un grupo cerrado privilegiado y / o un foro o lista cerrada es inaceptable."

El foro de D-Link sí un campo de inicio de sesión, pero parece que cualquiera puede ver muchas de las publicaciones sin registrarse. D-Link regresó un día después y dijo que los parches están listos y se publicarán en su sitio web "durante los próximos días", escribió Core.

D-Link no respondió de inmediato a las solicitudes de comentarios. No estaba claro desde el foro de soporte de la compañía si las actualizaciones de firmware ya se habían publicado públicamente.

Core Security acreditó a sus investigadores Francisco Falcon, Nahuel Riva, Martín Rocha, Juan Cotta, Pablo Santamaría y Fernando Miranda al encontrar los problemas.