Исследователи из компании Senrio обнаружили уязвимость получившую название Devil’s Ivy (дьявольский плющ)

Исследователи из компании Senrio обнаружили уязвимость, получившую название Devil’s Ivy (дьявольский плющ), которая позволяет атакующим получить контроль над устройствами «интернета вещей» (IoT-устройствами) или привести их в нерабочее состояние. Особое внимание было акцентировано на камерах наблюдения производства компании Axis Communications, являющейся лидером рынка сетевого видеонаблюдения. В ходе исследования было установлено, что уязвимость затрагивает не только 249 из 251 моделей камер видеонаблюдения, выпускаемых Axis, но и еще 34 компании, в числе которых Microsoft, IBM, Xerox и Adobe, использующих то же самое уязвимое программное обеспечение

Senrio сообщили, что уязвимость была обнаружена в коммуникационной части библиотеки gSOAP, которая используется в разработке прошивки для встроенных устройств. Devil’s Ivy позволяет удаленно перегружать устройство трафиком через 80-ый порт, таким образом создав переполнение буфера, после чего отправить на устройство специальный набор данных, который позволяет удаленному неавторизованному пользователю исполнять код на уязвимых устройствах.

Компания Genivia, разработавшая библиотеку, уже выпустила обновление, исправляющее уязвимость, однако сканирование при помощи IoT-поисковика Shodan позволяет обнаружить еще 14 700 камер Axis с уязвимостью Devil’s Ivy.

Эксперты Центра кибербезопасности ФГУП «ЗащитаИнфоТранс» рекомендуют обратить особое внимание на тот факт, что данная уязвимость может негативно повлиять на технические средства и системы обеспечения транспортной безопасности на объектах транспортной инфраструктуры (вокзалы, аэропорты и пр.), использующие в качастве средств видеонаблюдения камеры компании Axis, и рекомендуют:

- обновить прошивку всех устройств, которые могут быть подвержены воздействию уязвимости;

- не использовать публичную сеть для управления устройствами видеонаблюдения;

- по возможности использовать дополнительные средства защиты: межсетевые экраны, антивирусное программное обеспечение.