Les failles de sécurité des moniteurs pour bébés de Nooie pourraient permettre aux attaquants d’accéder au flux de la caméra ou d’exécuter un code malveillant sur des appareils vulnérables.
Les chercheurs de la société d’infosec Bitdefender ont obtenu des capacités d’exécution de code à distance (RCE) sur deux modèles de la gamme d’appareils de surveillance pour bébé Baby Cam de Nooie. D’autres appareils de la même gamme peuvent également être vulnérables mais cela n’a pas été démontré.
Le logiciel Nooie Cam compte entre 50 000 et 100 000 installations sur le Google Play Store, ce qui indique que la technologie est assez largement utilisée.
L’équipe de Bitdefender a découvert quatre vulnérabilités distinctes.
Tout d’abord, il y avait un débordement de tampon basé sur la pile ou une vulnérabilité de corruption de mémoire qui pouvait conduire à l’exécution de code à distance. La vulnérabilité – suivie comme CVE-2020-15744 – est classé comme critique et concerne les failles du logiciel IoT de Victure, au centre des recherches précédentes de Bitdefender.
Une autre faille permet aux attaquants d’accéder au flux RTSPS (audio-vidéo) d’une caméra arbitraire.
Les caméras pour bébés de Nooie s’appuient sur le protocole MQTT pour annoncer l’état des appareils IoT et recevoir un emplacement URL lié aux flux audio/vidéo RTSPS pour chaque appareil IoT individuel.
L’équipe de Bitdefender a découvert que le serveur MQTT qui gère les flux ne nécessite pas d’authentification, ce qui permet à un attaquant potentiel de s’abonner à un flux et d’obtenir des identifiants pour n’importe quel appareil lorsqu’il est en ligne.
TU POURRAIS AUSSI AIMER La plateforme de messagerie Zimbra publie un correctif pour la vulnérabilité XSS sous exploitation active
Les caméras pour bébés de Nooie utilisent Amazon Web Services (AWS) pour stocker les enregistrements sur le cloud. Chaque appareil a ses propres informations d’identification uniques, mais ces informations sont facilement obtenues par des attaquants potentiels, a découvert Bitdefender.
« Un attaquant peut facilement usurper la caméra et forger une demande en son nom et obtenir un accès illicite aux informations d’identification », selon Bitdefender.
« Les seuls prérequis sont les identifiants divulgués sur le serveur MQTT (uuid et uid). Après avoir obtenu l’accès aux informations d’identification, ils peuvent accéder aux enregistrements stockés de la caméra. »
Bitdefender a divulgué en privé ces diverses vulnérabilités en novembre 2020 avant de poursuivre avec un code de preuve de concept et des demandes de mise à jour sur les progrès du développement de correctifs.
Après avoir échoué à entendre quoi que ce soit de substantiel de la part du fournisseur, Bitdefender a rendu public ce mois-ci les détails des vulnérabilités et les suggestions d’atténuation, comme expliqué dans un article de blog technique.
Och Aye le Nooie
La gorgée quotidienne a invité Nooie à commenter les recherches de Birtdefender ou à fournir des conseils aux clients des caméras pour bébés concernées. Nous n’avons pas encore entendu.
Bitdefender a dit La gorgée quotidienne que les vulnérabilités pourraient permettre une série d’attaques potentielles contre les consommateurs.
Dan Berte, directeur de la sécurité IoT chez Bitdefender, a déclaré : « Le détournement du flux vidéo a toujours un impact émotionnel important pour le consommateur du point de vue de la confidentialité, mais RCE pourrait également conduire à un déni de service, au cryptominage, à un rançongiciel ou à une exfiltration de données – tout aussi bien. concernant, sinon plus.
Bitdefender a découvert les vulnérabilités dans le cadre de sa recherche plus large qui vise à aider « les fournisseurs et les clients à rester au courant des angles morts en matière de sécurité et de confidentialité et à rendre l’écosystème IoT plus sûr pour tout le monde ».
Invité à commenter la sécurité comparative des caméras pour bébés Nooie, Bitdefender a proposé une déclaration générale expliquant que la sécurité des appareils IoT était très variable.
« Certains fabricants investissent davantage dans la sécurisation de leurs produits en utilisant les meilleures pratiques telles que le codage sécurisé, des ressources d’ingénierie dédiées à l’auto-évaluation, des programmes de bug bounty ou de divulgation, des mises à jour fréquentes et d’autres mesures », selon Berte de Bitdefender.
« D’autres peuvent manquer de savoir-faire technique, de ressources disponibles ou même d’intérêt à se concentrer sur la sécurité. »
Berte a conclu : « Le manque de réglementation de l’industrie concernant la sécurité des appareils, la myriade de fournisseurs dans le monde et les millions d’appareils IoT déjà connectés rendent cet espace difficile du point de vue de la cybersécurité. »
Cette histoire a été mise à jour pour ajouter que l’une des failles de la technologie de Nooie concerne les lacunes de sécurité du logiciel IoT de Victure, au centre des précédentes recherches sur la sécurité de Bitdefender.