Nozomi Networks Labs heeft drie verschillende kwetsbaarheden onthuld in de software voor video-opnameapparatuur van Axis. Axis heeft al firmware-updates uitgebracht die elk probleem oplossen nadat het in juni op de hoogte was gesteld van de kwetsbaarheden.
De problemen hadden betrekking op Axis OS Active track 10.7, Axis OS 2016 LTS track 6.50.5.5, Axis OS 2018 LTS track 8.40.4.3, Axis OS 2020 LTS track 9.80.3.5, Axis OS Active track 10.8, Axis OS 2016 LTS track 6.50.5.5 , Axis OS 2018 LTS track 8.40.4.3 en Axis OS 2020 LTS track 9.80.3.5.
Axis is een miljardenbedrijf met kantoren in meer dan 50 landen en systemen op iconische locaties zoals het Witte Huis, Sydney Airport, de metro van Moskou, het bussysteem van Madrid en de stad Houston.
Onderzoekers van Nozomi Networks Labs kochten een Axis Companion Recorder en probeerden de cyberbeveiligingskenmerken van de apparatuur te onderzoeken.
Ze ontdekten een op heap gebaseerde bufferoverloop (CVE-2021-31986, CVSSv3 6.7), onjuiste ontvangervalidatie in netwerktestfunctionaliteiten (CVE-2021-31987, CVSSv3 4.1) en SMTP-headerinjectie in e-mailtest functionaliteit (CVE-2021-31988, CVSSv3 5.5).
De onderzoekers vonden de op heap gebaseerde bufferoverloop-kwetsbaarheid in de read callback-functie, die “niet kon verifiëren dat niet meer dan 'grootte' vermenigvuldigd met 'items' aantal bytes wordt gekopieerd in de libcurl-bestemmingsbuffer.”
p>Ze ontdekten dat de verstrekte parameters “extern controleerbaar zijn en onvoldoende werden gevalideerd door de server-side code voordat de read callback-functie werd bereikt.”
CVE-2021-31987 is gerelateerd aan de testfuncties van HTTP-, e-mail- en TCP-ontvangers, die beveiligingscontroles op basis van blokkeerlijsten hebben om interacties met door de lokale host blootgestelde netwerkdiensten te belemmeren. Onderzoekers van Nozomi Networks Labs ontdekten dat dit kon worden omzeild met bekende bypasses of onvolledig was.
“Door een slachtoffergebruiker te overtuigen een specifiek vervaardigde webpagina te bezoeken terwijl hij was ingelogd op de Companion Recorder-webtoepassing, een externe afstandsbediening aanvaller kan communiceren met alleen interne services die op het apparaat worden uitgevoerd en zo toegang krijgen tot beperkte informatie”, schreef het beveiligingsbedrijf.
“De derde kwetsbaarheid is te wijten aan een SMTP-header-injectie, die zich in de SMTP-testfunctie bevindt. Door een slachtoffergebruiker te overtuigen een specifiek vervaardigde webpagina te bezoeken terwijl hij is aangemeld bij de Companion Recorder-webtoepassing, kan een externe aanvaller op afstand het apparaat misleiden schadelijke e-mails verzenden naar andere gebruikers met willekeurige SMTP-headerwaarden. Dit kan worden misbruikt om phishing-aanvallen uit te voeren, malware via e-mails te verspreiden of interne informatie vrij te geven.”
CVE-2021-31986 en CVE-2021-31988 zijn van invloed op Axis OS Active track 10.7, Axis OS 2016 LTS track 6.50.5.5, Axis OS 2018 LTS track 8.40.4.3, Axis OS 2020 LTS track 9.80.3.5.
CVE-2021-31987 is te vinden in Axis OS Active track 10.8, Axis OS 2016 LTS track 6.50.5.5, Axis OS 2018 LTS track 8.40.4.3 en Axis OS 2020 LTS track 9.80.3.5.
p>
Nadat Nozomi Networks Labs in juni contact had opgenomen met Axis met de problemen, bevestigde het bedrijf ze in juli en werkte het samen met de onderzoekers om de firmware-updates te verifiëren.
Nozomi Networks Labs zei dat sommige apparaten niet zijn inbegrepen en “een patch zullen ontvangen volgens hun geplande onderhouds- en releaseschema.”
Beveiliging
Fortinet, Shopify rapporteren problemen na root CA-certificaat van Lets Encrypt verloopt Ransomware-bendes klagen dat andere criminelen hun losgeld stelen Bandbreedte CEO bevestigt uitval veroorzaakt door DDoS-aanval Deze systemen worden elke maand geconfronteerd met miljarden aanvallen terwijl hackers wachtwoorden proberen te raden Hoe een goedbetaalde baan in cybersecurity te krijgen Cybersecurity 101: Bescherm uw privacy tegen hackers, spionnen, de overheid
gerelateerde onderwerpen:
Hardwarebeveiliging TV-gegevensbeheer CXO-datacenters 