IoT : plusieurs marques de caméras sur IP sont vulnérables à des attaques
D’après une publication de la firme de sécurité F-Secure

La firme de sécurité F-Secure vient de publier un rapport faisant état de ce que seize marques de caméras de surveillance sont vulnérables à des attaques. Les marques concernées sont : Foscam, Opticom, Chacon, Thomson, 7links, Opticam, Netis, Turbox, Novodio, Ambientcam, Nexxt, Technaxx, Qcam, Ivue, Ebode et Sab. Ces marques ont un dénominateur commun, c’est que le matériel sous leur coque est issu de la même entreprise, la société Foscam basée en Chine.

Les chercheurs de la firme de sécurité ont documenté 18 vulnérabilités communes à ces marques, normal, elles sont issues du même constructeur. « Un attaquant peut avoir accès au flux vidéo, contrôler le fonctionnement de la caméra, accéder au serveur FTP intégré à sa guise. Il peut bloquer ou geler le flux vidéo et utiliser la caméra pour mener des attaques par déni de service ou d’autres activités malicieuses », peut-on lire dans la publication de la firme de recherche.

Ils ont également ajouté que « si la caméra est insérée dans un réseau local d’entreprise et qu’un hacker parvient à pénétrer ce réseau, la caméra pourra alors être compromise et infectée à l’aide d’un malware permettant d’établir une connexion à distance persistante, ce qui permettrait alors au hacker d’avoir un accès total au réseau d’entreprise et aux ressources associées ».

Tout ceci n’est possible qu’à cause des vulnérabilités mentionnées tantôt. Au rang de celles-ci, on peut en premier citer le fait que l’accès à l’interface Web d’administration se fait à l’aide de la combinaison admin : (vide), ce qui donne un accès total au serveur FTP intégré à la caméra. Il s’agit là d’un grief qui revient constamment lorsqu’on fait des revues de failles sur les dispositifs IoT, ce qui laisse songeur quant à savoir si de telles vulnérabilités sont expressément ignorées par ces constructeurs. Il y a plus grave à propos de l’accès à l’interface d’administration. C’est que même si l’utilisateur change le mot de passe par défaut, les hackers pourront toujours se servir (s’ils parviennent à le découvrir) d’un autre mot de passe contenu dans la mémoire de la caméra.

Autre vulnérabilité recensée et non des moindres, des fonctionnalités TELNET cachées. Les chercheurs rapportent que ces dispositifs en sont équipés et que ceci ne figure pas dans la documentation des produits. Un énorme problème puisqu’un hacker peut, par le biais d’une session TELNET, se faufiler dans le dispositif et découvrir par lui-même d’autres failles. Il s’agit là encore d’une autre vulnérabilité citée sur la plupart des dispositifs IoT actuellement disponibles sur le marché.

Les chercheurs rapportent que l’entreprise chinoise a été mise au courant de toutes ces failles. Ces dernières demeurent toutefois non corrigées à ce jour. En attendant une éventuelle réaction de la société chinoise allant dans le sens de corriger les failles, les chercheurs recommandent de faire usage de ces caméras dans des réseaux locaux dédiés ou dans des réseaux locaux virtuels (VLAN).

Source : publication

Et vous ?

Qu’en pensez-vous ?

Voir aussi :

La société américaine SVAKOM aurait volontairement introduit des failles de sécurité dans ses sex-toys connectés, d'après des tests de sécurité