'38.000 end-of-life ip-camera's fabrikant AVTech benaderbaar vanaf internet'
Zo'n 38.000 ip-camera's van fabrikant AVTech die end-of-life zijn, en daardoor geen beveiligingsupdates meer ontvangen, zijn vanaf internet benaderbaar. Dat stelt securitybedrijf Censys. Eind augustus werd bekend dat ip-camera's van AVTech al sinds maart via een kwetsbaarheid met malware worden besmet en zo onderdeel van een botnet worden dat ddos-aanvallen uitvoert.
De kwetsbaarheid wordt aangeduid als CVE-2024-7029. Proof of concept (PoC) exploitcode om misbruik van het beveiligingslek te maken is al sinds 2019 openbaar. Tot deze maand had de kwetsbaarheid nog geen CVE-nummer toegekend gekregen. Via de kwetsbaarheid kan een aanvaller op afstand willekeurige code op ip-camera's van AV-Tech uitvoeren.
Volgens internetbedrijf Akamai gaat het onder andere om de AVM1203, die niet meer door AVTech wordt ondersteund. Voor deze camera zal dan ook geen update verschijnen en gebruikers doen er verstandig aan om het apparaat te vervangen, aldus het internetbedrijf. Censys voerde een online scan uit en detecteerde 38.000 AVTech-camera's. "Niet al deze camera's zijn per definitie kwetsbaar voor deze CVE, maar het zijn allemaal end-of-life producten die niet blootgesteld aan internet zouden moeten zijn", zo stellen de onderzoekers.
Het hebben over een minimale periode waarop software updates verplicht zijn is al een lastige discussie. Maar voor dit soort security zaken zou de fysieke levensduur moeten gaan gelden.
Ook het feit dat ze nu een cve toewijzen aan een poc van 2019 laat zien dat deze securitycam producent de security niet serieus neemt. Dat terwijl het een van de bekendere/betere beveiligings camera's heeft.
Het hebben over een minimale periode waarop software updates verplicht zijn is al een lastige discussie. Maar voor dit soort security zaken zou de fysieke levensduur moeten gaan gelden.
Het Product Dimension document van deze camera is van februari 2017, de laatste versie van de datasheet is van november 2017. Ik denk dat deze camera ergens in het voorjaar van 2017 op de markt kwam.
AVtech heeft vandaag nieuwe firmware voor deze camera uitgebracht (versie 1024, gedateerd 5 september).. Genoemde documenten en de nieuwe firmware vind je hier: https://www.avtech.com.tw/Search.aspx?Key=AVM1203
Ik vraag mij overigens af sinds wanneer AVTech weet heeft van deze kwetsbaarheid.
Ja, dat is een voorbeeld dat ik meerdere keren in de praktijk heb gezien.
Het hebben over een minimale periode waarop software updates verplicht zijn is al een lastige discussie. Maar voor dit soort security zaken zou de fysieke levensduur moeten gaan gelden.
Anoniem van 15:15,
Heb ik ook, leuk spul. Maar niet voor de gemiddelde gebruiker.
Dat kon die camera vaak ook wel zelf regelen als UPnP op je router enabled is.
Moderne camera's werken meestal anders: de camera maakt een connectie met een cloud server, een uitgaande connectie dus die je router default toelaat.
Als gebruiker maak je ook connectie met die cloud server en dan kun je bij je camera.
Beide methoden hebben voor- en nadelen. Bij directe toegang is er meer risico als de camera vulnerabilities blijkt te bevatten, in de cloud oplossing is alles veilig tot de cloud server vulnerabilities heeft, maar die kan de fabrikant met een update van de cloud server oplossen, is dus niet afhankelijk van die vele camera's die overal al hangen en waar de eigenaar nooit een update op doet (als dat niet automatisch gaat).
Nadeel van de cloud oplossing is dat als de fabrikant besluit om de camera niet meer te ondersteunen, of als de fabrikant failliet gaat, je helemaal niet meer bij die camera kunt en je hem wel MOET vervangen. "op eigen risico" er mee door werken kan dan niet.
Uiteraard moet je dit soort apparaten intern wel altijd op een apart netwerk aansluiten. In een moderne router kun je extra netwerken aanmaken en die configureren voor welke poorten en welke SSID op dat netwerk zitten.
Je voorkomt dan het risico dat een trojan op je PC een connectie maakt met je camera "op hetzelfde netwerk", en ook omgekeerd (je besmette camera valt je PC aan).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.