Akuvox E11 kapı telefonu/interkom güvenlik delikleriyle dolu.
 |
| Akuvox E11 |
Akuvox E11, görüntülü kapı telefonu olarak faturalandırılır, ancak aslında bundan çok daha fazlasıdır. Ağa bağlı cihaz, bina kapılarını açar, canlı video ve mikrofon beslemeleri sağlar, bir fotoğraf çeker ve her geçişte onu yükler ve gerçek zamanlı olarak her girişi ve çıkışı kaydeder. Censys cihaz arama motoru, bu tür yaklaşık 5.000 cihazın İnternet'e açık olduğunu gösteriyor, ancak muhtemelen Censys'in çeşitli nedenlerle göremediği çok daha fazlası var.
Bu her şeye gücü yeten, her şeyi bilen cihazın, hassas verileri ve güçlü yetenekleri, iç işleyişini analiz etmek için zaman ayıran tehdit aktörlerinin ellerine teslim etmek için birçok yol sağlayan deliklerle dolu olduğu ortaya çıktı. Güvenlik firması Claroty'den araştırmacıların yaptığı da tam olarak buydu. Bulgular, bu cihazlardan birini evinde veya binada kullanan herkesin bu makaleyi okumaya ara vermesi, E11'in İnternet bağlantısını kesmesi ve oradan nereye gideceğini değerlendirmesi gerektiği kadar ciddidir.
Claroty tarafından bulunan 13 güvenlik açığı, kritik işlevler için eksik bir kimlik doğrulaması, eksik veya yanlış yetkilendirme, kriptografik olarak hashlenmiş anahtarlar yerine erişilebilir kullanılarak şifrelenmiş sabit kodlanmış anahtarlar ve hassas bilgilerin yetkisiz kullanıcılara ifşa edilmesini içeriyor. Güvenlik açıkları ne kadar kötü olursa olsun, akıllı interkom ve kapı giriş sistemlerinin Çin merkezli önde gelen tedarikçisi olan Akuvox'un Claroty, CERT koordinasyon Merkezi ve Siber Güvenlik ve Altyapı Güvenliği'nden gelen çok sayıda mesaja yanıt vermemesi, tehditlerini daha da kötüleştiriyor. Ajans altı haftalık bir süre boyunca. Claroty ve CISA, bulgularını Perşembe günü burada ve burada kamuoyuna açıkladı.
Güvenlik açıklarından biri hariç hiçbiri düzeltilmemiş durumda. Akuvox temsilcileri, bu makale için yorum isteyen iki e-postaya yanıt vermedi.
Bu cihazın ofisimde ne işi var?
Claroty araştırmacıları E11'i ilk olarak, kapısına önceden takılmış bir ofise taşındıklarında tökezlediler. Çalışanların ve ziyaretçilerin geliş gidişlerine erişimi ve gerçek zamanlı olarak casusluk yapma ve kapıları açma yeteneği göz önüne alındığında, kaputun altına bakmaya karar verdiler. Araştırmacıların bulduğu ilk kırmızı bayrak: Kapıda her hareket algılandığında çekilen görüntüler, şifrelenmemiş FTP aracılığıyla herkesin görüntüleyebileceği bir dizindeki bir Akuvox sunucusuna gönderildi ve oradan diğer müşteriler tarafından gönderilen görüntüleri indirdi.
Claroty'nin Team82 araştırma grubundaki araştırmadan sorumlu Başkan Yardımcısı Amir Preminger bir röportajda, "Başladığımızda ve FTP'yi gördüğümüzde çok şaşırdık," dedi. "Açık bir şekilde bir FTP bulacağımızı asla hayal etmemiştik. Önce cihazı bloke ettik, her şeyiyle bağlantısını kestik, kendi adasına koyduk ve bağımsız olarak kullandık. Onu değiştirme sürecindeyiz.”
Analiz devam ederken FTP sunucusunun davranışı değişti. Dizin artık görüntülenemez, bu nedenle muhtemelen artık indirilemez. Bununla birlikte, FTP yüklemeleri şifrelenmediğinden, önemli bir tehdit varlığını sürdürmektedir. Bu, bir E11 ile Akuvox arasındaki bağlantıyı izleyebilen herkesin yüklemeleri yakalayabileceği anlamına gelir.
Araştırmacıların bir başka önemli bulgusu, sahibinin cihazda oturum açmak, cihazı kontrol etmek ve canlı yayınlara erişmek için bir web tarayıcısı kullanmasına izin veren arayüzdeki bir kusurdu. Arayüz, erişim için kimlik bilgileri gerektirse de Claroty, bazı web işlevlerine parola olmadan erişim sağlayan gizli yollar buldu. CVE-2023-0354 olarak izlenen güvenlik açığı, statik bir IP adresi kullanarak İnternet'e açık olan cihazlara karşı çalışıyor. Kullanıcılar bunu bir tarayıcı kullanarak cihaza uzaktan bağlanmak için yapar.
Bir E11'e yetkisiz uzaktan erişime izin veren tek güvenlik açığı bu değil. Cihaz ayrıca Android ve iOS için kullanılabilen SmartPlus adlı bir telefon uygulamasıyla da çalışır. Bir E11 doğrudan İnternet'e maruz kalmadığında, bunun yerine ağ adresi çevirisini kullanan bir güvenlik duvarının arkasında olduğunda bile uzaktan erişime izin verir.
SmartPlus, sesli ve görüntülü aramalar, anlık mesajlaşma ve oyunlar gibi gerçek zamanlı iletişimler için kullanılan açık bir standart olan oturum başlatma protokolünü kullanarak interkomla iletişim kurar.
 |
| SIP çağrılarının nasıl çalıştığını gösteren basitleştirilmiş diyagram. |
E11 sahipleri, interkoma erişim sağlayan aramalar yapmak için uygulamayı kullanabilir.
 |
| SmartPlus'ın E11'i aramak için SIP'yi nasıl kullandığını gösteren basitleştirilmiş şema |
Uygulamanın kullanımını kolaylaştırmak için E11, uygulama ile interkom arasındaki bağlantıyı koordine eden merkezi bir SIP sunucusuna otomatik olarak kaydolur. Claroty'nin analizi, SIP sunucusunun SmartPlus kullanıcısının belirli bir E11'e bağlanma yetkisi olup olmadığını kontrol etmediğini buldu. Sonuç olarak, uygulamayı yükleyen herkes, NAT güvenlik duvarının arkasında olsa bile İnternete bağlı herhangi bir E11'e bağlanabilir. Oradan, yetkisiz kullanıcı video ve sesi gerçek zamanlı olarak görüntüleyebilir ve dinleyebilir.
 |
| Eve, Bob'a ait bir hesaba ait olan E11'i arar. |
Claroty araştırmacısı Vera Mens Perşembe günkü raporunda, "Bunu laboratuvarımızdaki ve ofis girişindeki dahili telefonu kullanarak test ettik." “Her interkom farklı hesaplar ve farklı taraflarla ilişkilidir. Hatta laboratuvar hesabından kapıdaki dahili telefona SIP araması yaparak kamera ve mikrofonu etkinleştirebildik.”
 |
| Bob'un E11'inden Eve'in SmartPlus uygulamasında görünen videoyu gösteren resim. |
Ve hepsi bu değil
Claroty'nin bulduğu bir diğer kritik güvenlik açığı, saldırganların cihaza komutlar enjekte etmesine izin veriyor. Yetenek, profil resimleri için kullanılan dosyaların adlarının, komutlarda kullanılan dizeleri içermediğinden emin olmak için temizlenmemesinden kaynaklanır. Saldırganlar, web arabirimi güvenlik açığındaki eksik kimlik doğrulama güvenlik açığını kullanarak cihaza ilk erişimi sağlayabilir ve ardından ek yeteneklerin kilidini açmak için parolalar içeren bir yapılandırma dosyasını indirmek için komut enjeksiyon güvenlik açığından yararlanabilir. E11, standart uygulamada olduğu gibi parolaları karma hale getirmek yerine, aygıt yazılımında depolanan bir anahtar kullanarak şifreler.
Parolanın şifresi çözüldüğünde, tehdit aktörü bunu, ek kötü amaçlı yazılımların yüklenmesine izin veren bir web kabuğu yüklemek için kullanabilir.
Daha önce belirtildiği gibi, güvenlik açıkları ciddi. Uzak saldırganlara yalnızca kullanıcıları gözetleme yeteneği vermekle kalmaz, aynı zamanda kapıların kilidini açmalarına da izin verir. Bu güvenlik açıkları, sağlık hizmetleri gibi alanlardaki kullanıcılar için neredeyse kesin olarak düzenleme ihlalleri teşkil edecektir. E11 kullanıcıları, güvenlik açıklarının ciddiyeti ve Akuvox'un Claroty ve CERT kuruluşları tarafından yapılan çok sayıda ifşa girişimine yanıt vermemesi nedeniyle cihazlarını ciddi şekilde değiştirmeyi düşünmelidir.
En azından, bu cihazlar İnternet'e erişilemeyen bir ağda ayrılmalıdır. Bu, kullanıcıların cihaza İnternet üzerinden herhangi bir şekilde erişmesini engelleyecektir ki bu muhtemelen önemli bir satış noktasıdır, ancak yine de cihazın yerel bir ağ içinde kullanılmasına izin verecektir.
Tags:
Bilgi Teknolojisi