Se
han reportado tres vulnerabilidades en
dispositivos Aver EH6108H+ hybrid DVR,
un sistema de gestión de cámaras de seguridad IP y streaming de video. Las vulnerabilidades están consideradas
de gravedad alta y podrían permitir a un atacante
remoto saltar restricciones de seguridad o incluso revelar información
sensible.
El dispositivo Aver EH6108H+ es
un DVR (grabador de video digital) híbrido de 8 canales que proporciona
facilidad de uso, alto rendimiento y calidad de imagen. Este
DVR cuenta con transmisión inteligente secuencial, notificaciones avanzadas de
alarma, soporte de doble Gigabit LAN, cuenta con integración POS, integración
de software a distancia y mucho más. Son dispositivos ampliamente usados en el
sector de seguridad industrial, comercial y bancario.
En el primer problema, con CVE-2016-6535,
el dispositivo contiene dos cuentas de credenciales con privilegios de root incluidas
en el propio código del sistema. Estas dos cuentas podrían ser usadas por un
atacante remoto para ganar privilegios dentro del sistema a través de sesiones
de telnet ejecutadas por defecto.
El siguiente problema, con CVE-2016-6536,
debido a la facilidad para averiguar determinados parámetros de identificación
del interface web (/setup), un atacante remoto no autenticado podría ser capaz
de acceder a páginas restringidas y/o modificar las configuraciones del DVR e
incluso modificar las cuentas de usuario.
Por último, con CVE-2016-6537,
el problema radica en la forma poco segura de manejar y almacenar las
credenciales de usuario (almacenadas en cadenas codificadas en base64). Esto
podría ser aprovechado por un atacante remoto no autenticado que podría obtener
información sensible del sistema con bastante facilidad.
Las tres vulnerabilidades han
sido reportadas por Travis Lee y afectan a dispositivos con firmware
X9.03.24.00.07l.
En la página
web del fabricante este producto figura como discontinuado, desconocemos si
se van a tomar medidas para paliar estas fallas de seguridad. Desde el
laboratorio técnico de Hispasec recomendamos tomar las siguientes medidas de
seguridad:
- Reducir la exposición a la red de los dispositivos, asegurándose de que no sean accesibles a través de Internet.
- Usar cortafuegos, y aislar la red local de posibles accesos no autorizados.
- Cuando se requiera el acceso remoto, usar métodos seguros tales como redes privadas virtuales (VPNs).
Aver EH6108H+ hybrid DVR
Vulnerability Note VU#667480
AVer Information EH6108H+ hybrid DVR contains
multiple vulnerabilities
Juan Sánchez
No hay comentarios:
Publicar un comentario