近400款Axis 摄像头易受远程攻击

聚焦源代码安全，网罗国内外最新资讯！

翻译：360代码卫士团队

瑞典网络摄像头制造商Axis Communications AB修复了近400款摄像头中的7个安全漏洞。

网络安全公司VDOO在开展对IP摄像头的内部计划时，分析了Axis固件并发现了这些漏洞。

VDOO专家发现的7个安全漏洞如下：

CVE-2018-10658–导致/bin/ssid进程崩溃

CVE-2018-10659 - /bin/ssid进程崩溃

CVE-2018-10660 - Shell命令注入漏洞

CVE-2018-10661–授权绕过漏洞

CVE-2018-10662 -用户对.srv功能dbus的访问不受限

CVE-2018-10663 - /bin/ssid进程中的信息泄露漏洞

CVE-2018-10664 - httpd进程崩溃

PoC 和补丁已推出

VDOO发布技术报告，详述了每个缺陷的情况，并提供了PoC以重现Axis固件老旧版本的行为。

安全专家将这些漏洞告知厂商，后者发布了固件更新。Axis公司还公布了所有受影响的摄像头机型，以及包含修复方案的固件版本号以及更新固件的地址链接。

攻击者需要获知摄像头的IP地址才能利用这些漏洞，但实际上由于多数僵尸网络扫描全部的IPv4地址空间查找易受攻击的设备，因此这个条件实际上并非大问题。

分拆每个漏洞来看，严重程度并没有那么高，但VDOO公司表示如果结合使用其中的三个漏洞即CVE-2018-10660、CVE-2018-10661和CVE-2018-10662，攻击者就能够在无需知道凭证的情况下接管易受攻击的设备。

VDOO公司表示，控制某台摄像头的攻击者能够执行如下多种动作，包括但不仅限于：

访问摄像头的视频流

冻结摄像头的视频流

控制摄像头——将镜头对准目标方向，开启或关闭运动检测

将摄像头增加至僵尸网络

修改摄像头软件

将摄像头作为网络的渗透点（执行横向位移）

渲染摄像头导致其失去作用

使用摄像头执行其它恶意任务（DDoS攻击、挖掘比特币等）

尚未出现利用攻击

安全研究人员表示尚未检测到或发现试图利用这些漏洞的迹象。鉴于最近发生的安全事件，僵尸网络将很快将这些漏洞纳入武器库。

建议设备所有人尽快安装已修复的固件。另外，VDOO在技术报告中已发布缓解措施。VDOO专家还在开展该计划时从Foscam IP摄像头中找到了多个安全缺陷。

此外，360代码卫士推出免费的固件安全检测工具(https://scanit.iot.360.net/)，能快速分析发现物联网设备固件中可能存在的安全风险和已知CVE漏洞，帮助企业及时发现并通过专家评估助力企业更好地解决摄像头等设备中的问题。

https://www.bleepingcomputer.com/news/security/vendor-patches-seven-vulnerabilities-across-392-camera-models/