0-click в прошивках Hikvision затрагивает 100+ миллионов IoT-устройств

0-click в прошивках Hikvision затрагивает 100+ миллионов IoT-устройств

0-click в прошивках Hikvision затрагивает 100+ миллионов IoT-устройств

Китайская компания Hikvision выпустила новые прошивки для 79 версий IP-камер и регистраторов. Обновления содержат патч для уязвимости удаленного исполнения кода, позволяющей в обход аутентификации получить полный доступ к устройству и провести атаку на внутреннюю сеть.

Проблему, получившую идентификатор CVE-2021-36260 и 9,8 балла по CVSS, обнаружил в минувшем июне британский исследователь с ником Watchful IP. По словам автора находки, эта уязвимость существует в продуктах Hikvision как минимум с 2016 года.

Сам вендор классифицирует этот критический баг как возможность внедрения команд. Согласно бюллетеню, его причиной является неадекватная проверка входных данных на веб-сервере. Эксплойт осуществляется через отправку на устройство особого сообщения и требует доступа по сети; возможна также атака извне, если девайс напрямую связан с интернетом.

В случае успеха, как пишет Watchful IP, атакующий получает шелл-доступ к видеокамере, притом с правами суперпользователя. Это более высокий уровень контроля, чем у законного владельца (возможности админа ограничены скромным набором команд).

Полный список уязвимых продуктов приведен в бюллетене Hikvision; он содержит почти 80 позиций. Поскольку каждое наименование — это десятки, даже сотни моделей, уязвимость CVE-2021-36260, по оценке маркетологов IPVM, ставит под удар более 100 млн IoT-устройств.

Охранные камеры Hikvision пользуются большой популярностью и часто устанавливаются на критически важных объектах, поэтому пользователям настоятельно рекомендуется обновить прошивки. Новые сборки для всех перечисленных в бюллетене продуктов доступны через китайский портал вендора. На других региональных сайтах, включая русскоязычный, в загрузки, по свидетельству Watchful IP, выложена лишь часть обновлений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Создать Цифровой ID в МАХ теперь можно по водительскому удостоверению

Пользователи мессенджера МАХ теперь могут оформить Цифровой ID по упрощённой схеме — достаточно иметь водительское удостоверение, добавленное в приложение Госуслуг. Такой вариант Цифрового ID можно использовать только для подтверждения возраста.

Цифровой ID — это электронный аналог бумажных документов. Он позволяет подтверждать, например, возраст или определённый статус — студента, родителя с несколькими детьми и т. д.

Проверка личности осуществляется с помощью динамического QR-кода в профиле мессенджера. Доступ к сервису открыт всем пользователям старше 18 лет.

Создать Цифровой ID можно тремя способами:

  • через подтверждённую биометрию,
  • с помощью загранпаспорта нового образца,
  • по водительскому удостоверению.

Если используется вариант с водительскими правами, процесс выглядит так:

  1. открыть в профиле МАХ раздел «Цифровой ID» и нажать «Создать»;
  2. подтвердить вход по лицу или отпечатку пальца;
  3. перейти в Госуслуги и выбрать подтверждение личности по водительским правам;
  4. сделать селфи;
  5. дождаться уведомления о готовности ID.

Пилотный запуск функции состоялся 15 сентября. Цифровой ID уже можно использовать для подтверждения возраста при покупке товаров с ограничением по возрасту — в частности, на кассах самообслуживания в ряде крупных торговых сетей в Москве, Санкт-Петербурге, Краснодаре и других городах.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru