Un reciente informe de ciberseguridad reporta la detección de múltiples vulnerabilidades críticas en el firmware de las cámaras IP con tecnología de UDP. El firmware UDP se incluye en las cámaras de una gran variedad de fabricantes, entre los que se encuentran Geutebrück, VCA y Sprinx Technologies, entre otros.
Los expertos de Randorisec, firma de seguridad encargada del reporte, mencionan que se habían detectado previamente algunas fallas en este firmware, incluyendo errores de autenticación y fallas de ejecución remota de código. En este nuevo análisis, los expertos confirmaron el hallazgo de otras 11 fallas de ejecución remota de código (RCE) y un error de autenticación que facilita la explotación de las fallas RCE.
Los investigadores ofrecieron una explicación detallada del hallazgo de estas fallas, agregando que un análisis profundo de las primeras fallas detectadas les permitió detectar las fallas de evasión de autenticación y crear exploits de prueba de concepto (PoC) para las fallas RCE.
Las vulnerabilidades fueron reportadas a los fabricantes en febrero pasado y abordadas por completo con el lanzamiento de una actualización de firmware hace un par de semanas. El listado de fallas va desde CVE-2021-33543 hasta CVE-2021-33554.
Davy Douhine, especialista a cargo de la investigación, reporta que la explotación de cualquiera de estas fallas permitiría el despliegue de otro tipo de ataques: “Durante las pruebas, una combinación de la falla en el proceso de autenticación y una vulnerabilidad RCE nos permitió obtener acceso root; los actores de amenazas podrían interrumpir la transmisión de video de las cámaras, cambiar sus configuraciones e incluso apagarlas de forma arbitraria.”
La buena noticia es que no se conocen casos de explotación activa, aunque se recomienda a los usuarios de dispositivos potencialmente afectados que actualicen a la más reciente versión del firmware UDP a la brevedad.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Info | Noticias Seguridad