Avisos 18 de December, 2012

Vulnerabilitat 0day en càmeres D-Link

S'ha publicat informació sobre una vulnerabilitat de nivell crític associada a models de càmeres IP del fabricant D-Link, aquesta vulnerabilitat en determinats escenaris podria permetre la revelació de la contrasenya que proporciona el control total del dispositiu.

 

Impacte
 
Revelació d'informació, control total del dispositiu.
 
Productes afectats
 
Càmeres IP del fabricant D-Link, serie DCS-9xx.
 
Solució
 
El fabricant encara no ha publicat una solució per a la vulnerabilitat (actualització de firmware), tot i que ha afirmat que té una solució pel problema.
 
Es recomana aplicar mesures adequades de protecció a nivell de xarxa, mitjançant si és possible una segmentació adequada. L'objectiu és impedir que un atacant pugui accedir als dispositius vulnerables, o capturar el tràfic de tipus broadcast que transmeten.
 
Detall
 
La vulnerabilitat resideix en un error de disseny en el protocol d'autenticació utilitzat per l'assistent de configuració de les càmeres. Durant aquest procés, l'assistent envia un missatge de tipus UDP en mode "broadcast", sense cap autenticació amb la finalitat d'identificar les càmeres existents a la xarxa. També s'envia de la mateixa manera la contrasenya d'administració, que encara que s'envia xifrada, aquesta pot ser capturada i desxifrada fàcilment, es guarda de forma insegura en la màquina que executa l'assistent.
 
El control ActiveX inclòs en l'assistent web desxifra la contrasenya i l'emmagatzema en una variable amb llenguatge de programació Javascript, codificada de manera reversible en base64.
 
Un atacant podria obtenir accés a la contrasenya capturant el tràfic de xarxa quan un usuari legítim executa l'assistent, o mitjançant la suplantació directe de l'assistent i sol•licitant la contrasenya.
 
L'identificador de seguretat assignat a aquesta vulnerabilitat és CVE-2012-4046.
 
Referències
Avís de seguretat del investigador original.
http://www.fishnetsecurity.com/6labs/blog/password-disclosure-d-link-surveillance-cameras-cve-2012-4046

 

Publicat a: Avisos