NUUO és Netgear hálózati videó felvevők (NVR) sérülékenységei

2016. augusztus 5. 06:49

CH azonosító

CH-13467

Angol cím

NUUO and Netgear Network Video Recorder (NVR) vulnerabilities

Felfedezés dátuma

2016.08.03.

Súlyosság

Magas

Érintett rendszerek

Netgear

Érintett verziók

NUUO NVRmini 2
NVRsolo
Crystal
NETGEAR ReadyNAS Surveillance

Összefoglaló

Az NUUO és Netgear hálózati videófelvevő (NVR) termékek sérülékenységei váltak ismertté, amelyeket kihasználva a támadó tetszőleges kódot futtathat a rendszeren. A sérülékenységeket kiküszöbölő megoldás még nem szerezhető be a gyártótól.

Leírás

Ezek az linux alapú NVR videófelvevő rendszerek kamerákat menedzselnek és világszerte számos közintézményben (pl. bankok) megtalálhatóak, illetve ezeknek az eszközöknek a gyártója szállítja a NETGEAR ReadyNAS-ok NVR alkalmazását is.

Az érintett eszközök web interfészei több kritikus sérülékenységet tartalmaznak:

beégetett felhasználói fiók,
rosszul megtisztított bemenet,
puffer túlcsordulás.

A támadó a NUUO eszközökön egy nem bejelentkezett távoli felhasználóként, a NETGEAR esetében pedig admin-ként tetszőleges kódfuttatásra (root) használhatja ki a fenti sérülékenységeket.