CVE-2018-9995 - это критическая уязвимость обхода аутентификации, которая затрагивает устройства TBK DVR4104 и DVR4216, а также их ребрендированные версии, продаваемые под названиями Novo, CeNova, QSee, Pulnix, XVR 5 in 1, Securus, Night OWL, DVR Login, HVR Login и MDVR Login. Уязвимость возникает из-за ошибки при обработке специально созданного HTTP cookie. Когда злоумышленник отправляет такое cookie, устройство отвечает, отправляя обратно учетные данные администратора в открытом виде. Это позволяет злоумышленнику получить административный доступ к устройству, включая доступ к живым видеопотокам камер.
Уязвимость была обнаружена исследователем безопасности Фернандесом Эзекиелем и известна уже более пяти лет. Несмотря на свой возраст, она остается не устраненной, и существуют общедоступные доказательства концепции (PoC) эксплойтов, которые облегчают злоумышленникам эксплуатацию этой уязвимости. FortiGuard Labs сообщила о более чем 50 000 уникальных попытках эксплуатации в апреле 2023 года, что подчеркивает продолжающийся риск.
Критический характер этой уязвимости подчеркивается ее оценкой CVSS 9.8. Для ее эксплуатации не требуется аутентификация или взаимодействие с пользователем, что делает ее высоко доступной для удаленных злоумышленников. Широкое использование затронутых устройств DVR в различных секторах, включая банковский, розничный и государственный, еще больше усиливает потенциальное воздействие.
Учитывая отсутствие исправлений от поставщика, организации, использующие эти устройства, находятся под значительным риском. Уязвимость позволяет злоумышленникам обходить механизмы аутентификации, получать административные привилегии и потенциально получать доступ к конфиденциальным видеопотокам, что создает серьезные риски для безопасности и конфиденциальности.
|