IP-camera's lekken beheerderwachtwoord
Het Amerikaanse Computer Emergency Readiness Team (US-CERT) waarschuwt dat verschillende IP-camera's het beheerderwachtwoord lekken en gebruikers over het internet toegang tot het toestel geven. De twee kwetsbaarheden bevinden zich in de webinterface firmware voor Foscam en Wansview IP-camera's, die mogelijk ook door andere fabrikanten wordt gebruikt.
Firewall
Door het bezoeken van specifieke URLs kan een ongeauthenticeerde aanvaller dezelfde functies uitvoeren als een normale gebruiker. Daarnaast wordt het beheerderwachtwoord via client-side Javascript gelekt.
Aangezien er nog geen oplossing beschikbaar is, adviseert US-CERT om de firewall zo te configureren dat alleen vertrouwde gebruikers toegang tot de webinterface krijgen.
Dat is precies wat het bericht zegt!
Dus beetje laat dat waarschuwen, gewoon dat de concuriruentie het ook kan gaan alle bellen rinkelen.
Dus gewoon een goede cam met een andere backdoor uit china, in plaats van de gewende backdoors.
Ik ben zelf getuige geweest van een hacker die camera's op afstand via een webinterface kon bedienen.
Er was geen wachtwoord, geen user-account niks van dit alles ingevoerd. Kinderlijk eenvoudig dus.
die "hacker" zal zeker een paar google dorks gevonden hebben op internet, die gebruikt te hebben en zo 1,2,3 in het webinterface terrecht gekomen van een camera. dat bestaat al een beste tijd hoor, het komt alleen steeds vaker in het nieuws dat óók die dingen te hacken zijn. dat was eigenlijk te verwachten toch?
Allemaal dezelfde goedkope plastic rommel uit China.
Ik was al zeer wantrouwend tegenover deze Chinese OEM "merken" gezien het feit dat deze "bedrijven" zelf een eigen server hebben draaien als "DynDNS" waar jouw IP-cam aan gelinkt staat voor toegang via web.
Tegelijkertijd zijn ze zelf ook in de gelegenheid even mee te gluren 24/7 en de IP-cams op afstand te besturen en te verstellen en spioneren.
Bovendien die zogemaande gratis apps voor Android en iPhone ook weer van Chinese makelij die ook rechten van je telefoon eisen die absoluut vragen oproepen.
Kortom, koop gewoon een degelijke Axis IP cam of een D-Link IP cam.
Geen goedkope Chinese OEM troep dat niet veilig is en vragen oproept m.b.t. misbruik zoals boven omschreven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
