Bratislava – Volgens het nieuwste IoT-onderzoek van ESET, heeft de D-Link DCS-2132L camera meerdere beveiligingskwetsbaarheden, die de deur openzetten voor ongeautoriseerde spelers. Gebaseerd op vrijgegeven informatie, minimiseerde de fabrikant enkele van de gemelde kwetsbaarheden terwijl andere nog steeds opkomen.
“Het meest ernstige probleem met de D-Link DCS-2132L cloudcamera is de niet versleutelde transmissie van de videostream. Deze loopt niet-versleuteld over beide connecties – tussen de camera en de cloud en tussen de cloud en de client-zijde van de viewer app – wat een vruchtbare bodem is voor man-in-the-middle (MitM)-aanvallen en waardoor een indringer de videostreams van het slachtoffer kunnen bespieden,” aldus ESET Researcher Milan Fránik, van het ESET Research Lab in Bratislava.
Een ander ernstig probleem met deze camera zat verscholen in de plug-in van de webbrowser voor de "myDlink-services". Dit is een van de voor de gebruiker beschikbare vormen van de viewer-app. Andere vormen bevatten mobiele apps die door ESET niet werden onderzocht. De plug-in voor de webbrowser staat in voor de creatie van de TCP-tunnel en de live video playback in de client-browser en is tevens verantwoordelijk voor het doorsturen van verzoeken zowel voor de video-als de audio data streams door een tunnel die naar een dynamisch gegenereerde poort luistert op een lokale host.
“De plug-in kwetsbaarheid had akelige gevolgen kunnen hebben voor de veiligheid van de camera, daar het voor de aanvallers mogelijk was om de echte firmware te vervangen door hun eigen bewerkte of achterdeur versie,” verduidelijkt Fránik.
ESET heeft alle gevonden kwetsbaarheden aan de fabrikant gemeld. Sommige kwetsbaarheden – vooral in de myDlink plug-in – werden sindsdien minder kwetsbaar en via een update gepatcht, terwijl problemen met de niet-versleutelde transmissie voortduren.
Lees voor een meer gedetailleerde beschrijving van de kwetsbaarheden en mogelijke aanvalsscenario’s het onderzoek “D-Link camera vulnerability allows attackers to tap into the video stream” op de nieuwssite van ESET WeLiveSecurity.com.
Over ESET
Al 30 jaar ontwikkelt ESET®wereldwijd vooraanstaande software voor IT-beveiliging alsook diensten voor bedrijven en consumenten. ESET biedt een brede waaier aan van oplossingen die gaan van endpoint en mobiele beveiliging tot versleuteling en twee-factor authenticatie. ESET’s hoogpresterende en gemakkelijk te gebruiken producten laten consumenten en bedrijven toe met gemoedsrust te genieten van hun technologie.
ESET beschermt en controleert onopvallend 24/7, werkt de bescherming bij in real time en maakt het mogelijk dat bedrijven en gebruikers zonder onderbreking kunnen werken. Evoluerende bedreigingen vragen om IT-beveiliging die mee evolueert. Ondersteund door wereldwijde O&O centra werd ESET het eerste IT-beveiligingsbedrijf dat 100 maal de Virus Bulletin VB100awards kreeg voor het identificeren van elke “in-the-wild” malware en dit zonder onderbreking sinds 2003.
Bezoek voor meer info www.eset.com of volg ons op LinkedIn, Facebook en Twitter.
Persinformatie
Voor meer informatie of voor het testen met ESET kan u contact opnemen met:
MGK Technologies
+352 26 18 51
Key Communications
Catherine d’Adesky / Louise Biron
+32 (0)475 48 62 68
+32 (0)2 230 40 72
catherine@keycommunications.be
louise@keycommunications.be
www.keycommunications.be
Wil je geen berichten van ESET ontvangen, laat het dan weten aan louise@keycommunications.be