Weer blijken Chinese IP-camera’s ‘zo lek als een mandje’

Het is weer zover: IoT-apparatuur blijkt minder veilig dan gehoopt. Ditmaal is het de Finse securityspecialist F-Secure die aan de bel trekt. Het bedrijf laat weten dat het 18 ‘kwetsbaarheden’ in twee IP-camera’s van het Chinese merk Foscam heeft opgespoord. F-Secure heeft de fabrikant van de problemen op de hoogte gesteld, maar tot dusver heeft Foscam niet gereageerd. En dat is - op zijn zachtst gezegd - nogal jammer.

F-Secure ontdekte de beveiligingsgaten in De Chinese fabrikant Foscam maakt een aantal IP-camera’s. Sommige worden onder andere merknamen verkocht; een daarvan is OptiCam. De twee kwetsbare modellen zijn de OptiCam i5 HD en de Foscam C2. Volgens F-Secure is het ‘heel aannemelijk’ dat de lekken ook voorkomen in andere Foscam-producten. “Deze kwetsbaarheden stellen een hacker in staat om bijna alles te doen wat hij wil”, vertelt Harry Sintonen, Senior Security Consultant bij F-Secure. Hij was degene die de lekken wist op te sporen. “Je kunt je geen slechter scenario voorstellen. Een hacker kan de camera’s een voor een misbruiken of kan een mix van devices onder vuur nemen om meer en belangrijkere rechten binnen een device en een netwerk te verkrijgen.”

Volledige toegang

Dit zegt F-Secure zelf over de lekkende camera’s:

“Onveilige, hard gecodeerde en lege referenties maken het mogelijk toegang te krijgen tot de admin-omgeving. Een hacker kan zelfs toegang krijgen tot de root van het device en zo de camera volledig controleren en deze als een spil gebruiken in het onderliggende netwerk.”

“De software is niet in staat de toegang tot belangrijke bestanden en directories te beperken, waardoor hackers deze kunnen wijzigen met eigen opdrachten. Tal van kwaadaardige acties behoren tot het instrumentarium van de hacker. Denk bijvoorbeeld aan ‘remote command injection’, ‘cross-site scripting’, ‘buffer overflow’ en wachtwoordaanvallen die met brute kracht worden uitgevoerd.”

“De hacker krijgt dus niet alleen toegang krijgen tot het beeld van de camera. Hij of zij krijgt via de camera ook toegang tot het onderliggende netwerk en alle data. De camera kan ook misbruikt worden voor grootschalige cyberaanvallen.”