安全圈123
2022年8月2日19:00江蘇
關註
關鍵詞
大華攝像頭
大華攝像頭被曝存在“開放式網絡視頻接口論壇（ONVIF）”標準實施的安全漏洞，編號CVE-2022-30563（CVSS 評分：7.4），黑客可通過該漏洞嗅探未加密的ONVIF交互，允許攻擊者通過重放憑據來破壞攝像機。
圖片
2022年6月28日，大華已經發布了漏洞補丁修復了這壹漏洞，受影響的產品型號如下：
大華ASI7XXX：v1.000.0000009.0.R.220620之前的版本
大華IPC-HDBW2XXX:v2.820.0000000.48.R.220614之前的版本
大華IPC-HX2XXX:v2.820.0000000.48.R.220614之前的版本
資料顯示，ONVIF（開放式網絡視頻接口論壇）是壹個全球性的開放式行業論壇，專註於基於網絡IP安防產品（如網絡攝像頭連接到網絡錄像機，網絡攝像頭連接到監控軟件，及門禁系統）的全球標準的制定。ONVIF創建了壹個視頻監控和其他物理安全領域的IP產品如何進行相互通信的標準，解決了各個廠家產品不能相互兼容的問題。
安全專家在報告中指出，安全漏洞存在於“WS-UsernameToken”身份驗證機制中，允許攻擊者通過重放憑據來破壞攝像機。這意味著壹旦黑客成功利用該漏洞，那麽就可以秘密添加惡意管理員帳戶，以最高權限獲得對受影響設備的無限制訪問，包括實時觀看和重放攝像頭視頻。
具體攻擊方式是，黑客捕獲壹個通過 WS-UsernameToken 模式進行身份驗證的未加密 ONVIF 請求，然後使用該請求發送具有相同身份驗證數據的偽造請求，以誘騙設備創建管理員帳戶。
本次披露是在Reolink、ThroughTek、Annke和Axis設備中發現類似缺陷之後進行的，強調了物聯網安全攝像頭系統由於部署在關鍵基礎設施中而帶來的潛在風險。
安全專家表示，不少攻擊者對於入侵IP攝像機感興趣，以此收集有關目標公司設備或生產過程的情報。這些情報可以讓攻擊者對目標公司發起網絡攻擊前進行充分偵查，而獲取的目標環境信息越多，黑客就越容易制定攻擊方式，甚至在物理上破壞關鍵基礎設施的生產過程。
END
閱讀推薦
好看妳就分享 有用就點個贊
支持「安全圈」就點個三連吧！
免責聲明
本文來自騰訊新聞客戶端創作者，不代表騰訊新聞的觀點和立場。