Windows

หากคุณใช้ธนาคารและใช้กล้องวิดีโอ IP จาก D-Link คุณอาจต้องการให้ความสำคัญกับเรื่องนี้

เวก้าผับ ฉบับพิเศษ

เวก้าผับ ฉบับพิเศษ
Anonim

D-Link ทำกล้องต่างๆที่เชื่อมต่อกับอินเทอร์เน็ตได้หลากหลายรูปแบบ กับธุรกิจและผู้บริโภค กล้องสามารถบันทึกภาพและวิดีโอและควบคุมผ่านแผงควบคุมบนเว็บ ฟีดข้อมูลแบบสดสามารถดูได้บนโทรศัพท์มือถือบางรุ่น

โมเดลที่อ่อนแอ DCS-5605 / DCS-5635 มีคุณลักษณะการตรวจจับการเคลื่อนไหวซึ่ง D-Link แนะนำในเอกสารทางการตลาดของตนจะดีสำหรับธนาคาร, โรงพยาบาลและสำนักงาน

นักวิจัยของ Core Security พบว่าสามารถเข้าถึงได้โดยไม่ต้องตรวจสอบสตรีมวิดีโอสดผ่านทาง RTSP (โปรโตคอลสตรีมมิ่งเรียลไทม์) รวมทั้งการแสดงผล ASCII ของสตรีมวิดีโอในโมเดลที่ได้รับผลกระทบ RTSP เป็นโปรโตคอลระดับแอ็พพลิเคชันสำหรับการถ่ายโอนข้อมูลแบบเรียลไทม์ตามที่คณะทำงานด้านวิศวกรรมทางอินเทอร์เน็ต

นักวิจัยยังพบปัญหาเกี่ยวกับแผงควบคุมบนเว็บที่จะอนุญาตให้แฮ็กเกอร์ป้อนคำสั่งโดยพลการ ในข้อผิดพลาดอีกประการหนึ่ง D-Link จะเข้าสู่เฟิร์มแวร์ซึ่งทำหน้าที่เป็นแบ็คดอร์ซึ่งจะช่วยให้ผู้โจมตีจากระยะไกลสามารถเข้าถึงกระแสข้อมูล RTSP ได้ "Core Security กล่าวในที่ปรึกษาของ บริษัท

รายละเอียดทางเทคนิค ในโพสต์ในส่วนการเปิดเผยข้อมูลแบบเต็มรูปแบบของ Seclists.org พร้อมด้วยรายการผลิตภัณฑ์ที่ได้รับความสนใจซึ่ง D-Link ได้ยกเลิกการดำเนินการบางส่วน

Core Security ได้แจ้ง D-Link ของปัญหาเมื่อวันที่ 29 มีนาคม ตามบันทึกการปฏิสัมพันธ์ของทั้งสอง บริษัท ที่มีอยู่ในโพสต์เกี่ยวกับการเปิดเผยข้อมูลแบบเต็มรูปแบบ บันทึกที่เขียนขึ้นโดย Core มีรายละเอียดที่น่าสนใจว่า บริษัท ทั้งสองมีการติดต่อกันอย่างไรและเห็นได้ชัดว่ามีข้อขัดแย้งกันอยู่บ้าง

ตามข้อมูล Core D-Link กล่าวว่า "มีโปรแกรมโปรดปรานที่ไม่ได้เผยแพร่สำหรับผู้จำหน่ายด้านความปลอดภัย" หลาย บริษัท มีโปรแกรมแก้ไขข้อผิดพลาดที่ให้รางวัลแก่นักวิจัยด้วยเงินสดหรือสิ่งจูงใจอื่น ๆ ในการหาประเด็นด้านความปลอดภัยในผลิตภัณฑ์ของตนและแจ้งให้ทราบก่อนเผยแพร่รายละเอียด

รอบ 20 มีนาคม D-Link ร้องขอให้ Core Security ลงนามบันทึกความเข้าใจ เป็นส่วนหนึ่งของโครงการซึ่ง Core ปฏิเสธ ไม่ได้อธิบายข้อกำหนดของบันทึกช่วยจำ Core บอก D-Link ว่า "การได้รับเงินจากผู้ขายอาจส่งผลเสียต่อมุมมองของรายงาน"

ทั้งสอง บริษัท มีการเข้าทำงานอีกเล็กน้อย D-Link บอก Core ว่าจะออกแพทช์และคำแนะนำในการแก้ไขปัญหาในฟอรัม Support D-Link D-Link จะรอสักครู่ก่อนที่จะประกาศสาธารณะ

Core Security ไม่ชอบคำแนะนำดังกล่าว เมื่อวันพุธที่ผ่านมา Core ได้ถาม D-Link "เพื่อชี้แจงเกี่ยวกับวันที่เผยแพร่ D-Link และแจ้งว่าการแก้ไขปัญหาให้กับกลุ่มที่ได้รับการยกเว้นและ / หรือฟอรัมหรือรายการที่ถูกปิดคือไม่สามารถยอมรับได้"

ฟอรัม D-Link มี ฟิลด์การเข้าสู่ระบบ แต่ดูเหมือนว่าทุกคนสามารถดูโพสต์จำนวนมากโดยไม่ต้องลงทะเบียน "ในอีกไม่กี่วันข้างหน้า" Core เขียน

D-Link ไม่ตอบสนองต่อคำร้องขอความคิดเห็นทันที Core Security ได้ให้เครดิตแก่นักวิจัย Francisco Falcon, Nahuel Riva, Martin Rocha, Juan Cotta, Pablo Santamaria และ Fernando Miranda ด้วยการค้นพบปัญหานี้