"0day vulnerability (backdoor) in firmware for HiSilicon-based DVRs, NVRs and IP cameras"


In 2017 Istvan Toth did a most comprehensive analysis of HiSilicon firmware. He also discovered remote code execution vulnerability in the built-in webserver and many other vulnerabilities. It's worth noting that disclosure was ignored by vendor.

Részletek itt.

Hozzászólások

Szerkesztve: 2020. 02. 06., cs - 12:50

Ezekben a DVR-ekben annyi backdoor van, hogy igazából nehéz nem bejutni :)

Általában webes port van kifele nyitva, amira csak én legalább 3 backdoort ismerek. Forgalmazó (címkéző) csak akkor csinál bármit is, ha már égeti a talpát a probléma és százasával törik fel őket. Addig is a "megoldás": tedd magas portra és csak web legyen nyitva! Én minden ügyfélnek javaslom, hogy ha fontos neki a biztonság, akkor tegyük tűzfal mögé és csak VPN-ből legyen elérhető. Kb 20-ból 1-et érdekel is..

Ráadásul hasht látom visszafejtette az illető (gratula neki, én nem tudtam), de valójában felesleges volt, mivel ocx és NVMS is csak szimplán csak hasht küld, így nem kell ismerni az algoritmust.

Egyébként magyarok általában TVT-vel címkéztetnek, de ugyanaz (HiSilicon).

Ez a magas port, amit most talált a kínai reset miatt van. Ha vesz Kínából párat, aztán elmondja hogy elfelejtette jelszót, akkor kínai távsegítségben gyári eszközzel reseteli ezen keresztül. Közben persze simán ellophatod a tool-t + naplózva a csomagokat, hogy hogyan csinálta. Legtöbbet weben keresztül is lehet resetelni gyári kóddal vagy újabban ugyanígy challenge - response jelleggel (sima http-n gyártó vagy forgalmazó által nem egyszer csináltam).

Hikvision annyival jobb csak, hogy ott egy hálón kell vele lenned (elvileg persze, nekem csak úgy resetelték, aztán "nagyobb" ügyfélnél ki tudja mi van).

"Én minden ügyfélnek javaslom, hogy ha fontos neki a biztonság, akkor tegyük tűzfal mögé és csak VPN-ből legyen elérhető. Kb 20-ból 1-et érdekel is"

Teljesen egyet értek. Sőt én konkrétan az internet elérést is blokkolom, úgy legalább elcseszett frissítések sem tehetik tönkre. 

Szerintem nem csak azért érdemes az internet blokkolása. Elég ha valamelyik szolgáltatást, amire felcsatlakoznának a rögzítők időközönként, eltérítik és kész a baj, nem hiszem hogy ilyen hibák mellett pont a tanúsítványok kezelése vagy akár TLS használata szempont lett volna az fw írásánál.

Szerkesztve: 2020. 02. 07., p - 09:01

És ehhez hozzájön még, hogy akik ilyen kamerarendszerek telepítésével foglalkoznak, nagyrészt annyit értenek az IT-hoz mint anyám, vagy még annyit se. Villanyszerelők, de ismerek redőnyöst és hűtőházast is, aki mellékesként kamerákat is csinál. Standard a 80-as portra kirakott NVR admin / 123456 jelszavakkal, és nem értik hogy mi ezzel a probléma. És meg vannak sértődve amikor azt mondom, hogy nem vagyok hajlandó port forwardot csinálni rá.

"Sose a gép a hülye."