Эксперты Tenable рассказали о некоторых уязвимостях ПО для систем видеонаблюдения от тайванского производителя Nuuo. Эта проблема, названная Peekaboo, позволяет взломщику получить доступ к информации, изменять записанные данные и удаленно отключать видеонаблюдение.
В целом, есть всего две проблемы:
• Переполнение буфера в стеке – позволяет получить удаленный доступ любому, даже не авторизованному пользователю;
• Бэкдор отладочном коде.
Прежде всего, данная проблема касается автономного сетевого видеорегистратора для оборудования от NVRMini 2. Дело в том, что данный компонент играет роль хаба в системах видеонаблюдения, а значит через него можно управлять содержимым устройств.
ПО от Nuuo активно используют повсеместно, его устанавливают банки, ТЦ, медицинские учреждения, аэропорты, вокзалы и т.д. И так как ПО от данной компании распространяется по свободной лицензии (White Label*), взломать могут около 2 тысяч наименований современных IP-камер. Эксперты считают, что речь идет о сотнях тысяч систем видеонаблюдения.
Tenable пока не разглашают подробности о Peekaboo. Специалисты надеются, что выход следующего патча, должен исправить существующие проблемы. На данный момент известно, что наиболее уязвимой является Nuuo 3.9.0 - текущая версия прошивки (и некоторые ее более ранние версии). Благо Tenable уже выпустила плагин для анализа системы на наличие уязвимостей.
*White Label («белая этикетка») – сотрудничество, которое подразумевает разработку и дальнейшее производство чего-либо одной компанией и свободное распространение сторонними брендами.
