Una vulnerabilità recentemente scoperta, cui è stato attribuito il nome di “Devil’s Ivy”, probabilmente colpirà milioni di videocamere che supportano il protocollo ONVIF.
L’exploit inizialmente è stato scoperto su una videocamera Axis e quindi individuato su 249 modelli Axis diversi, ma il problema non interesse soltanto le videocamere Axis. La vulnerabilità del codice risiede in gSOAP, che è ampiamente utilizzato dai membri di ONVIF per implementare l’omonimo protocollo sulle videocamere. Il consorzio ONVIF raccoglie quasi 500 membri, tra cui figurano aziende quali Bosch, Canon, Cisco, D-Link, Fortinet, Hitachi, Honeywell, Huawei, Mitsubishi, Netgear, Panasonic, Sharp, Siemens, Sony e Toshiba.
In una conversazione telefonica con WIRED, il fondatore di Genivia nonché creatore di gSOAP Robert van Engelen ha detto che 34 aziende ONVIF usavano gSOAP come clienti paganti, ma si è rifiutato di rilevare quali. WIRED venerdì scorso ha contattato le 15 principali aziende dell’elenco dei membri di ONVIF sopracitato per chiedere loro se avessero rilasciato patch specifiche per i propri dispositivi: la maggior parte di società non ha risposto o ha rifiutato di commentare la situazione.
L’aspetto più rovinoso di questa venerabilità è la sua ampia diffusione perché essa si trova all’interno di librerie largamente utilizzate su milioni di videocamere. Aggiornare le videocamere interessate dal problema è quindi un’impresa di proporzioni titaniche.
Si tratta di un chiaro esempio del perché segmentare la propria rete o utilizzare tecnologie come l’isolamento informatico delle videocamere di Eagle Eye sia fondamentale. l’isolamento informatico delle videocamere di Eagle Eye isola le videocamere da altre reti affinché non possano essere attaccate in modo dannoso né utilizzate se contengono un trojan o altri malware. Non pensiamo che molti produttori siano attrezzati o organizzati per effettuare un rilascio veloce di firmware aggiornato su tutti i loro modelli di videocamere per ovviare a questa vulnerabilità.
È possibile leggere l’articolo di WIRED riguardante la vulnerabilità Devil’s Ivy qui:
https://www.wired.com/story/
Altri post che potrebbero interessarti
Attenti agli impostori del cloud
Recentemente ci è capitato di parlare con un cliente della sicurezza informatica del suo fornitore di “finto cloud” per il controllo degli accessi. La sua azienda aveva preso un bidone…
Luglio 20, 2017
Bug della sicurezza di Cloudflare
Eagle Eye Networks non utilizza Cloudflare, un servizio di miglioramento della performance dei siti web. Nel servizio Cloudflare, Tavis Ormandy di Project Zero ha individuato un problema di sicurezza relativamente…
Febbraio 27, 2017
Attacco informatico – videocamere di Washington D.C.
Nel corso degli ultimi mesi, è stato segnalato un numero sempre maggiore di dispositivi IOT, tra cui DVR e videocamere, compromessi a seguito di attacchi informatici. Più recentemente, il Washington…
Gennaio 31, 2017
