ONVIF ranjivost u Dahua IP kamerama

Otkrivena je ranjivost u Dahua IP kamerama, konkretno u ONVIF (Open Network Video Interface Forum) standardu, koja omogućava preuzimanje kontrole nad uređajima.

 

Image by Photo Mix from Pixabay

Označena kao CVE-2022-30563 (sa CVSS ocjenom: 7.4), omogućava napadačima da zloupotrebe mrežne kamere preko prethodno ne šifrirane ONVIF komunikacije i ponovo reprodukuju korisničke podatke za prijavu prema uređaju, prema izvještaju sigurnosne kompanije Nozomi Networks.

 

Kompanija Dahua je objavila da ima spremna sigurnosna ažuriranja od 28. juna 2022. godine, koja se odnose  na sljedeće proizvode:

 

- Dahua ASI7XXX: na sve verzije prije v1.000.0000009.0.R.220620

- Dahua IPC-HDBW2XXX: na sve verzije prije v2.820.0000000.48.R.220614

- Dahua IPC-HX2XXX: na sve verzije prije v2.820.0000000.48.R.220614

 

Ranjivost koja je identifikovana od strane  sigurnosne kompanije Nozomi Networks se odnosi na mehanizam za prijavljivanje pod nazivom “WS-UsernameToken” implementiranom u određenom broju IP kamera proizvođača Dahua. Ranjivost omogućava napadaču da doda novi administratorski nalog, omogućavajući mu najveći stepen pristupa uređaju, što uključuje i gledanje prenosa sa kamere uživo. Napadaču je samo potrebno da “uhvati” ne šifrovani mrežni zahtev autentifikovan pomoću šeme WS-UsernameToken-a, koji poslije izmijenjen šalje uređaju kako bi ga prevario i dobio mogućnost da napravi administratorski nalog.

 

Otkrivanje ove ranjivosti u Dahua IP kamerama je posljedica otkrivenih sličnih ranjivosti u uređajima proizvođača Reolink, ThroughTek, Annke i Axis, što upozorava na potencijalnu opasnost, s obzirom da se ovi uređaju postavljaju na sigurnosno kritičnim mjestima.

 

Kompanija Dahua savjetuje svojim korisnicima, u skladu sa najboljim praksama u sajber bezbjednosti, izvrše preuzimanje i primjene potrebna ažuriranja sa njihove stranice za podršku ili da kontaktiraju lokalnu Dahua  podršku.

Follina: Aktivna Microsoft ranjivost

Ranjivost označena kao CVE-2022-30190 koja je dobila kodni naziv Follina, zvanično je registrovana 30. maja ove godine kao ranjivost nultnog dana, koja podržava daljinsko izvršavanje komandi u Microsoft alatu za diagnostiku MSDT - Microsoft Windows Support Diagnostic Tool. Ovo je još uvije aktivna ranjivost, bez dostupnog ažuriranja koja je označena ocjenom 7.8 ili veoma ozbiljna u bazi NVD - National Vulnerability Database. Postoje saznanja da je korisnik Windows operativnog pokušavao 22 mjeseca da prijavi ovu ranjivost, ali je bio zanemaren.

 

Image by Darwin Laganzon from Pixabay; Edit by Sasa Djuric

Ovo je potpuno nova ranjivost koja do sada nije bila korištena i za nju ne postoji dostupno ažuriranje sa danom ove objave. Ranjivost  Follina iskorštava funkcionalnost Microsoft Office Word aplikacije i njenih šablona na udaljenom serveru, omogućavajući preuzimanje HTML dokumenta sa udaljenog servera, prilikom čega se može izvršiti PowerShell ili neka druga skripta. Ranjivost ima veliki uticaj na “obične” korisnike koji su korisnici Windows operativnog sistema i koji urade pregled, otvaranje ili preuzimanje posebno pripremljenog Word dokumenta. Korisnici su do sada izbjegavali infekciju preko Word dokumenata otvaranjem u Protected Mode režimu, ali on nema uticaja na ovu ranjivost, tako da napadači koriste MSDT da dobiju daljniski pristup i izvršavaju pokretanje proizvoljnog kôda na napadnutim uređajima. Sve verzije operativnog sistema Windows imaju MSDT i pogođene su ovom ranjivošću, uključujući i Windows 11.

 

Napad na korisnika obično započinje preko elektronske pošte korištenjem phishing-a. Korisnik dobija elektronsku poštu sa prilogom Word dokumenta. On može da izvrši  pregled, otvaranje ili preuzimanje Word dokumenta u prilogu. Dolazi do pokretanja MSDT prozora za rješavanje problema, koji upozorava na kompatibilnost, ali tada je već kasno. Dok je MSDT alat pokrenut, Word dokument koristi upravljač protokola da kontaktira vanjsku referencu sa HTML zlonamjernim sadržajem. Nakon toga dolazi do pokretanja kôda na uređaju koji omogućava napadaču direktni pristup i proširuje njegove mogućnosti pokretanja novih skripti na uređaju korisnika.

 

Sigurnosna kompanija Proofpoint je otkrila napad povezan sa kriminalnom grupom označenom kao TA570 koja koristi ovu ranjivost da isporuči Qbot zlonamjerni softver specijalizovan za krađu korisničkih informacija. Sigurnosni tim Symantec je otkrio da napadači iskorištavaju ovu ranjivost da isporuče AsyncRAT, zlonmajerni softver koji im omogućava daljinsku kontrolu nad korisničkim uređajem.

 

Dok ne bude dostupno sistemsko ažuriranje koje će ispraviti ovu ranjivost, korisnicima se preporučuj da onemoguće MSDT URL protokol, što će onemogućiti da pokrenuti MSDT alat kontaktira vanjsku referencu sa HTML zlonamjernim sadržajem.  Kompanija Microsoft je objavila uputstvo na koji se način ovo može uraditi:

 

1. Pokrenuti Command Prompt kao Administrator.

2. Napraviti rezervnu kopiju registr ključa pokretanjem komande:

“reg export HKEY_CLASSES_ROOT\ms-msdt filename“

 

3. Nakon toga obrisati ključ u registrima pokretanjem komande:

“reg delete HKEY_CLASSES_ROOT\ms-msdt /f”

 

U slučaju potrebe, obrisani ključ je moguće vratiti koristeći napravljenu rezervnu kopiju na sljedeći način:

 

1. Pokrenuti Command Prompt kao Administrator.

2. Pokrenuti komandu:

“reg import filename”