Dahua sårbarhed giver fuld kontrol over lyd- og videoovervågningen og potentiel adgang til hele netværket
Detaljer er blevet delt om en sikkerhedssårbarhed i Dahuas Open Network Video Interface Forum (ONVIF) standardimplementering, som, når den udnyttes, kan føre til at gribe kontrol over IP-kameraer. Selvom Dahua og HIKVISION er udelukket fra Onvif, er den alligevel blevet delt da den inkluderer det tidligere samarbejde med de kinesiske producenter. Sporet som CVE-2022-30563 (CVSS-score: 7.4), “sårbarheden kunne misbruges af angribere til at kompromittere netværkskameraer ved at snuse til en tidligere ukrypteret ONVIF-interaktion og afspille legitimationsoplysningerne i en ny anmodning mod kameraet,” sagde Nozomi Networks i en torsdagsrapport. Problemet, der blev løst i en programrettelse, der blev udgivet den 28. juni 2022, påvirker følgende produkter: Dahua ASI7XXX: Versioner før v1.000.0000009.0.R.220620 Dahua IPC-HDBW2XXX: Versioner før v2.820.0000000.48.R.220614 Dahua IPC-HX2XXX: Versioner før v2.820.0000000.48.R.220614 ONVIF er en verdens autoritet der styrer udviklingen og brugen af den åbne standard for, hvordan IP-baserede fysiske sikkerhedsprodukter såsom videoovervågningskameraer og adgangskontrolsystemer kan kommunikere med hinanden på en leverandøragnostisk måde, men det pointeres at HikVision og Dahua samt mange andre kinesiske producenter er udelukket fra alt internationalt samarbejde og er blevet forbud i en række lande sammen med andre kinesiske produkter. Fejlen identificeret af Nozomi Networks ligger i det, der kaldes “WS-UsernameToken” godkendelsesmekanisme implementeret i visse IP-kameraer udviklet af det kinesiske firma Dahua, så angribere kan kompromittere kameraerne ved at afspille legitimationsoplysningerne igen. Med andre ord kan en vellykket udnyttelse af …