La falla de Wyze Cam permite a los piratas informáticos acceder de forma remota

Una vulnerabilidad de la cámara de Internet Wyze Cam permite el acceso remoto no autenticado a videos e imágenes almacenados en tarjetas de memoria locales y ha permanecido sin reparar durante casi tres años.

El error, al que no se le ha asignado una ID de CVE, permitió a los usuarios remotos acceder al contenido de la tarjeta SD en la cámara a través de un servidor web que escucha en el puerto 80 sin necesidad de autenticación.

Al insertar una tarjeta SD en Wyze Cam IoT, se crea automáticamente un enlace simbólico en el directorio www, que es servido por el servidor web pero sin restricciones de acceso.

La tarjeta SD generalmente contiene grabaciones de video, imágenes y audio, pero puede incluir otra información que el usuario puede haber guardado en la tarjeta SD.

La tarjeta SD también almacena todos los archivos de registro del dispositivo, que contienen el UID (número de identificación único) y la ENR (clave de cifrado AES). Su divulgación puede resultar en conexiones remotas sin obstrucciones al dispositivo.

La falla fue descubierta e informada al proveedor por investigadores de Bitdefender en marzo de 2019, junto con otras dos vulnerabilidades, una omisión de autenticación y una falla de ejecución de control remoto.

El equipo de Wyze abordó la falla de omisión de autenticación rastreada como CVE-2019-9564 a través de una actualización de seguridad el 24 de septiembre de 2019.

La vulnerabilidad de ejecución remota, asignada CVE-2019-12266, se solucionó mediante una actualización de la aplicación el 9 de noviembre de 2020, 21 meses después de su descubrimiento inicial.

El peor tratamiento del grupo se reservó para el problema de la tarjeta SD, que se solucionó solo el 29 de enero de 2022, cuando Wyze impulsó una actualización de firmware de reparación.

Impacto y soluciones

Teniendo en cuenta que los dispositivos conectados a Internet generalmente se usan de acuerdo con la mentalidad de "configurar y olvidar", es posible que la mayoría de los propietarios de Wyze Cam aún estén ejecutando una versión de firmware vulnerable.

Para localizar actualizaciones de firmware confiables para su modelo de cámara, consulte las versiones disponibles en el portal de descarga oficial de Wyze .

Cabe señalar que las actualizaciones de seguridad están disponibles solo para Wyze Cam v2 y v3, lanzadas en febrero de 2018 y octubre de 2020, respectivamente, y no para Wyze Cam v1, lanzadas en agosto de 2017.

El modelo anterior llegó al final de su vida útil en 2020 y, dado que Wyze no solucionó el problema hasta entonces, esos dispositivos seguirán siendo vulnerables a la explotación para siempre.

Como advierte Bitdefender en su informe de divulgación :

Después de trabajar durante más de dos años en este problema, las limitaciones logísticas y de hardware por parte del proveedor provocaron la interrupción de la versión 1 del producto, lo que deja a los propietarios existentes en una ventana permanente de vulnerabilidad. Recomendamos a los usuarios que dejen de usar esta versión de hardware lo antes posible.

Si está utilizando un producto Wyze con soporte activo, asegúrese de aplicar las actualizaciones de firmware disponibles, desactive sus IoT cuando no se usen y configure una red separada y aislada exclusivamente para ellos.

El equipo de ciberseguridad de Wyze le dijo a BleepingComputer que las cámaras v2 y v3 son perfectamente seguras de usar con la última actualización de firmware, mientras que un portavoz compartió el siguiente comentario:

En Wyze, valoramos enormemente la confianza de nuestros usuarios en nosotros y nos tomamos muy en serio todas las preocupaciones de seguridad.

Evaluamos constantemente la seguridad de nuestros sistemas y tomamos las medidas adecuadas para proteger la privacidad de nuestros clientes. Agradecemos la divulgación responsable proporcionada por Bitdefender sobre estas vulnerabilidades. Trabajamos con Bitdefender y reparamos los problemas de seguridad en nuestros productos compatibles. Estas actualizaciones ya están implementadas en nuestra última aplicación y actualizaciones de firmware.

Fuente: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta