Axis Patches 7 ช่องโหว่ที่สำคัญในอุปกรณ์ 386 เครื่อง

แกนกล้อง IP IPCam

ตามก คำแนะนำด้านความปลอดภัย เผยแพร่โดย Axis Communications ภายใต้ ID ACV-128401 มีการตรวจพบช่องโหว่ 7 ช่องใน Axis Camera Network ซึ่งอนุญาตให้สั่งการจากระยะไกลได้ ช่องโหว่ได้ถูกกำหนดป้าย CVE พวกเขาเป็น: CVE-2018-10658 , CVE-2018-10659 , CVE-2018-10660 , CVE-2018-10661 , CVE-2018-10662 , CVE-2018-10663 และ CVE-2018-10664 . CVE-2018-10658 ยืมตัวเองไปสู่ปัญหาความเสียหายของหน่วยความจำในกล้อง Axis IP หลายรุ่นซึ่งทำให้เกิดการตอบสนองการปฏิเสธบริการขัดข้องที่มาจากรหัสในวัตถุที่ใช้ร่วมกัน libdbus-send.so CVE-2018-10659 แก้ไขปัญหาความเสียหายของหน่วยความจำอื่นที่ทำให้เกิดความผิดพลาดของ DoS โดยการส่งคำสั่งที่สร้างขึ้นซึ่งเรียกคืนคำสั่ง UND ที่ไม่ได้กำหนด ARM CVE-2018-10660 อธิบายช่องโหว่การแทรกคำสั่งเชลล์ CVE-2018-10661 อธิบายการเลี่ยงช่องโหว่การควบคุมการเข้าถึง CVE-2018-10662 อธิบายช่องโหว่ของอินเทอร์เฟซที่ไม่ปลอดภัยที่เปิดเผย CVE-2018-10663 อธิบายปัญหาการคำนวณขนาดที่ไม่ถูกต้องภายในระบบ สุดท้าย CVE-2018-10664 อธิบายถึงปัญหาความเสียหายของหน่วยความจำทั่วไปในกระบวนการ httpd ของกล้อง Axis IP หลายรุ่น

ยังไม่ได้วิเคราะห์ช่องโหว่โดย CVE MITER และยังคงรอดำเนินการ CVSS 3.0 เกรด แต่ Axis รายงานว่าเมื่อใช้ประโยชน์ร่วมกันความเสี่ยงที่เกิดขึ้นนั้นสำคัญมาก ตามการประเมินความเสี่ยงในรายงานที่เผยแพร่ผู้โจมตีต้องได้รับการเข้าถึงเครือข่ายไปยังอุปกรณ์เพื่อใช้ประโยชน์จากช่องโหว่ แต่เขา / เขาไม่ต้องการข้อมูลรับรองใด ๆ ในการเข้าถึงนี้ ตามการประเมินอุปกรณ์มีความเสี่ยงตามสัดส่วนการสัมผัส อุปกรณ์ที่เชื่อมต่อกับอินเทอร์เน็ตที่เปิดเผยผ่านเราเตอร์ port-forward มีความเสี่ยงสูงเนื่องจากอุปกรณ์ในเครือข่ายท้องถิ่นที่ได้รับการป้องกันมีความเสี่ยงที่ค่อนข้างต่ำในการใช้ประโยชน์

Axis ได้จัดเตรียมรายการ ผลิตภัณฑ์ที่ได้รับผลกระทบ และยังได้เปิดตัวไฟล์ ปรับปรุงแพทช์ สำหรับเฟิร์มแวร์ที่ขอให้ผู้ใช้อัปเกรดเพื่อป้องกันการใช้ประโยชน์จากช่องโหว่เหล่านี้ นอกจากนี้ขอแนะนำให้ผู้ใช้ไม่ให้อุปกรณ์ของตนสัมผัสกับการตั้งค่าการส่งต่อพอร์ตอินเทอร์เน็ตโดยตรงและขอแนะนำให้ใช้ AXIS Companion แอปพลิเคชั่นสำหรับ Windows, Android และ iOS ซึ่งให้การเข้าถึงวิดีโอจากระยะไกลอย่างปลอดภัย นอกจากนี้ยังแนะนำให้ใช้ตาราง IP ภายในโดยใช้แอปพลิเคชันกรอง IP เพื่อลดความเสี่ยงของช่องโหว่ดังกล่าวในอนาคตในลักษณะเชิงป้องกัน