In een ip-camera van fabrikant Yi Technologies zijn verschillende kwetsbaarheden ontdekt waardoor een aanvaller in het ergste geval op afstand kan meekijken of de camera kan saboteren. Dat laat Cisco weten. Camera's van Yi Technologies worden ook in Nederland aangeboden.

Onderzoekers vonden in totaal negen kwetsbaarheden in de Yi Technology Home Camera 27US. Het is een standaard Internet of Things-camera die gebruikers de mogelijkheid biedt om via het internet mee te kijken en eenvoudig is te installeren. Ook biedt het offline en cloudopslag. Via de beveiligingslekken is het mogelijk om op afstand code op het systeem uit te voeren, het apparaat uit te schakelen of de netwerkauthenticatie te omzeilen.

Een aanvaller kan zo met de camera meekijken, de camera uitschakelen zodat er niet wordt opgenomen, opgenomen beelden verwijderen en via de camera andere apparaten in het netwerk aanvallen. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheden is het ergste beveiligingslek met een 9,6 beoordeeld. Deze kwetsbaarheid ontstaat doordat de camera, zodra die is aangesloten, via http verbinding maakt met een server om de tijd te synchroniseren.

Een aanvaller die het verzoek van de camera weet te onderscheppen kan vervolgens een antwoord terugsturen dat een buffer overflow veroorzaakt. Hierdoor wordt het mogelijk om willekeurige code op de camera uit te voeren. Een aantal van de kwetsbaarheden is op afstand te misbruiken, anderen alleen met fysieke toegang. Yi Technologies werd op 1 mei over de beveiligingslekken geïnformeerd en kwam op 22 oktober met een update. Daarop heeft Cisco nu de details bekendgemaakt. Eigenaren van een Yi Home Camera krijgen het advies de nieuwste firmware te installeren.