Eine kürzlich entdeckte Sicherheitslücke namens „Devil’s Ivy“ wird voraussichtlich Millionen von Kameras betreffen, die das ONVIF-Protokoll unterstützen.
Der erste Exploit wurde auf einer Axis-Kamera entdeckt und dann auf 249 verschiedenen Axis-Kameramodellen gefunden – aber das Problem geht weit über Axis-Kameras hinaus. Die Code-Schwachstelle liegt in gSOAP, das von ONVIF-Mitgliedern zum Implementieren von ONVIF auf Kameras verwendet wird. Das ONVIF-Konsortium umfasst fast 500 Mitglieder und umfasst Unternehmen wie Bosch, Canon, Cisco, D-Link, Fortinet, Hitachi, Honeywell, Huawei, Mitsubishi, Netgear, Panasonic, Sharp, Siemens, Sony und Toshiba.
In einem Telefonat mit WIRED sagte Genivia-Gründer und gSOAP-Schöpfer Robert van Engelen, 34 ONVIF-Unternehmen nutzten gSOAP als zahlende Kunden, lehnten aber ab, welche zu nennen. WIRED hat sich am vergangenen Freitag mit den 15 großen Unternehmen auf der oben genannten ONVIF-Mitgliederliste in Verbindung gesetzt, um zu fragen, ob sie spezielle Patches für ihre Gadgets veröffentlicht haben – die meisten antworteten nicht oder lehnten es ab, einen Kommentar abzugeben.
Am verheerendsten an dieser Ehrwürdigkeit ist, wie weit verbreitet sie ist, weil sie in Bibliotheken zu finden ist, die in Millionen von Kameras weit verbreitet sind. Die wahrscheinlich betroffenen Kameras zu aktualisieren ist ein gigantisches Projekt.
Dies ist ein klares Beispiel dafür, warum es von entscheidender Bedeutung ist, Ihr Netzwerk zu segmentieren oder Technologien wie Eagle Eye Cyber-Lockdown für Kameras zu nutzen. Eagle Eye Cyber-Lockdown für Kamera isoliert die Kameras von anderen Netzwerken, so dass sie weder böswillig angegriffen noch verwendet werden können, wenn sie einen Trojaner oder andere Malware enthalten. Wir erwarten nicht, dass viele Hersteller dafür ausgerüstet oder organisiert sind, eine schnelle Firmware-Version für alle ihre Kameramodelle zu erstellen, um diese Sicherheitsanfälligkeit zu beheben.
Sie können den WIRED-Artikel über die Schwachstelle von Devil’s Ivy hier lesen:
https://www.wired.com/story/
Andere Beiträge, die Sie interessieren könnten
Schwerste Verletzung
Equifax, das Kreditberichtsunternehmen, hat gerade die schwerste Datenverletzung in der Geschichte erlebt. Diese Verletzung enthüllte sensible Informationen, einschließlich Sozialversicherungsnummern und Adressen von bis zu 143 Millionen Amerikanern. Dies ist die…
Oktober 4, 2017
Vorsicht vor Cloud-Betrüger
Wir haben kürzlich mit einem Kunden ein Gespräch über die Cyber-Sicherheit seines "Fake Cloud"-Anbieters für die Zugangskontrolle geführt. Ihnen war eine Stückliste für ein Zugangskontrollsystem verkauft worden, das Cloud-basiert sein…
Juli 20, 2017
Devil’s Ivy wahrscheinlich verbreitet
Eine kürzlich entdeckte Sicherheitslücke namens "Devil's Ivy" wird voraussichtlich Millionen von Kameras betreffen, die das ONVIF-Protokoll unterstützen. Der erste Exploit wurde auf einer Axis-Kamera entdeckt und dann auf 249 verschiedenen…
Juli 24, 2017
