Cámara IP Axis. IPCam
De acuerdo a una aviso de seguridad publicado por Axis Communications con el ID ACV-128401, se han detectado 7 vulnerabilidades en Axis Camera Network que permiten la ejecución remota de comandos. A las vulnerabilidades se les han asignado etiquetas CVE; son: CVE-2018-10658 , CVE-2018-10659 , CVE-2018-10660 , CVE-2018-10661 , CVE-2018-10662 , CVE-2018-10663 y CVE-2018-10664 . CVE-2018-10658 se presta a un problema de corrupción de memoria en varios modelos de cámaras IP Axis que provoca una respuesta de bloqueo de denegación de servicio que se origina en un código en el objeto compartido libdbus-send.so. CVE-2018-10659 soluciona otro problema de corrupción de la memoria que causa un bloqueo de DoS al enviar un comando diseñado que recuerda la instrucción ARM indefinida UND. CVE-2018-10660 describe una vulnerabilidad de inyección de comandos de shell. CVE-2018-10661 describió un desvío de la vulnerabilidad de control de acceso. CVE-2018-10662 describe una vulnerabilidad de interfaz insegura expuesta. CVE-2018-10663 describe un problema de cálculo de tamaño incorrecto dentro del sistema. Por último, CVE-2018-10664 describe un problema genérico de corrupción de memoria en el proceso httpd de varios modelos de cámaras IP Axis.
Las vulnerabilidades no han sido analizadas por INGLETE CVE aún y aún están pendientes CVSS 3.0 grados, pero Axis informa que cuando se explotan en combinación, el riesgo planteado es crítico. Según la evaluación de riesgos en el informe publicado, un atacante debe obtener acceso a la red del dispositivo para explotar las vulnerabilidades, pero no necesita ninguna credencial para obtener este acceso. Según la evaluación, los dispositivos tienen un riesgo proporcional a su grado de exposición. Los dispositivos conectados a Internet expuestos a través del enrutador de puerto hacia adelante tienen un alto riesgo de que los dispositivos de una red local protegida tengan un riesgo relativamente menor de explotación.
Axis ha proporcionado una lista completa de productos afectados y también ha lanzado un actualización de parche para el firmware al que se insta a los usuarios a actualizar para evitar la explotación de estas vulnerabilidades. Además de esto, también se recomienda a los usuarios que no expongan sus dispositivos directamente a las configuraciones de reenvío de puertos de Internet y se les recomienda usar el Compañero de AXIS aplicación para Windows, Android e iOS que proporciona acceso seguro al metraje de forma remota. También se sugiere una tabla de IP interna que utiliza la aplicación de filtrado de IP para mitigar el riesgo de futuras vulnerabilidades de este tipo de manera preventiva.
