IoT: Foscam beseitigt Exploit-Kette in Kameras

Foscam muss seine IP-Kameras erneut gegen mehrere Sicherheitslücken absichern. Angreifer hätten für eine erfolgreiche Übernahme gleich mehrere Schwachstellen kombinieren müssen.

Artikel veröffentlicht am ,
Eine Kamera von Foscam
Eine Kamera von Foscam (Bild: F-Secure)

Der chinesische IoT-Gerätehersteller Foscam hat mehrere Sicherheitslücken in aktuellen IP-Kameras geschlossen. Nach Angaben das Sicherheitsunternehmens VDOO hätten Angreifer durch die Ausnutzung verschiedener Schwachstellen die Kontrolle über die Geräte übernehmen können. Es gebe bislang keine Hinweise darauf, dass diese Probleme tatsächlich ausgenutzt werden, schreibt das Unternehmen.

Stellenmarkt
  1. Leitung IT-Infrastruktur (m/w/d)
    Tyczka GmbH, Geretsried
  2. Wissenschaftlicher Mitarbeiter / Wissenschaftliche Mitarbeiterin (w/m/d) an der Fakultät für ... (m/w/d)
    Universität Passau, Passau
Detailsuche

Nachdem ein Angreifer eine Kamera etwa durch einen Portscan identifiziert hat, könnte er mit der Schwachstelle CVE-2018-6830 mehrere Dateien auf dem Gerät löschen (Arbitrary File Deletion) und so den eigentlich vorgesehenen Authentifizierungsmechanismus der Kamera außer Kraft setzen. Dazu muss der webService-Dienst neu geladen werden.

Um den Dienst neu zu starten kann der Angreifer eine weitere Sicherheitslücke ausnutzen, einen Buffer Overflow in webService. Die Schwachstelle CVE-2018-6832 führt dazu, dass der Prozess abstürzt und vom Watchdog-Daemon neu gestartet wird. Wegen der fehlenden Dateien wird die Anmeldung ohne Autorisierung durchgeführt.

Eingabe für NTP-Server wird nicht bereinigt

Im letzten Schritt wird dann die CVE-2018-6831 ausgenutzt, mit der beliebige Shellkommandos an das Gerät übertragen und mit Adminrechten ausgeführt werden. Die Kommandos können über die FastCGI-API eingeschleust werden, mit der ein eigener NTP-Server zur Zeitsynchronisierung eingeführt werden kann. Die Funktion sieht allerdings in den ungepatchten Versionen der Software keine korrekte Bereinigung der übergebenen Parameter vor ("sanitization"), sodass beliebige Befehle übergeben werden können.

Golem Karrierewelt
  1. Entwicklung mit Unity auf der Microsoft HoloLens 2 Plattform: virtueller Zwei-Tage-Workshop
    05./06.12.2022, Virtuell
  2. Jira für Anwender: virtueller Ein-Tages-Workshop
    17.01.2023, virtuell
Weitere IT-Trainings

Foscam hat die Schwachstellen in Zusammenarbeit mit VDOO behoben. Die jeweils aktuelle Firmware-Version für verschiedene Kameramodelle kann dem Blogpost entnommen werden. Bereits im vergangenen Jahr hatte Foscam mehrere Sicherheitslücken behoben, die das finnische Unternehmen F-Secure entdeckt hatte.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Strom
Wie wahrscheinlich ist ein Blackout?

"Blackout" könnte das Wort des Jahres werden, so wird davon gesprochen. Wir klären, ob Deutschland in diesem Winter wirklich seinen ersten derart verheerenden Stromausfall erleben könnte.
Eine Analyse von Gerd Mischler

Strom: Wie wahrscheinlich ist ein Blackout?
Artikel
  1. Bayern: Arbeitszeit von mehr als 10 Stunden am Tag gefordert
    Bayern
    Arbeitszeit von mehr als 10 Stunden am Tag gefordert

    Die bayerische Arbeitsministerin plädiert für mehr Flexibilität am Arbeitsplatz und will mehr als zehn Stunden Arbeit pro Tag erlauben.

  2. Auf alles vorbereitet: der neue Volvo EX90
     
    Auf alles vorbereitet: der neue Volvo EX90

    Volvo will bis 2030 vollelektrisch und bis 2040 klimaneutral werden - der neue Volvo EX90 zeigt, wie das gehen soll: mit einem leistungsstarken elektrischen Antrieb, Laden in zwei Richtungen und einer neuen Software-Plattform, die Sicherheit und Komfort weiter erhöht.
    Sponsored Post von Volvo

  3. Polizei: San Francisco erlaubt tötende Roboter
    Polizei
    San Francisco erlaubt tötende Roboter

    Die Polizei in San Francisco darf künftig auch mittels Robotern töten - durch Sprengstoffe statt Waffen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 jetzt bestellbar • LG OLED TV (2022) 55" 120Hz 949€ • Mindstar: Geforce RTX 4080 1.449€ • Tiefstpreise: G.Skill 32GB Kitt DDR5-7200 • 351,99€ Crucial SSD 4TB 319€, HTC Vive Pro 2 659€ • Samsung Cyber Week • Top-TVs (2022) LG & Samsung über 40% günstiger [Werbung]
    •  /