AFS Informática

Suscríbete ahora a nuestra Newsletter

Si hace unas semanas hablábamos de la increible vulnerabiliad descubierta en Winrar, ahora te traemos otra no menos peligrosa, y es que atañe a nada más y nada menos que la mayoría de cámaras de seguridad y otros dispositivos IOTs que nos rodean.

Así es, cientos de marcas de cámaras de seguridad, monitores para bebés y porteros automáticos «inteligentes» tienen serias vulnerabilidades que permite a un atacante secuestrar el dispositivo y espiar a sus propietarios.

El investigador Paul Marrapese descubrió graves fallos en el componente de iLnkP2P, utilizado para que el usuario pueda conectarse a sus dispositivos mediante P2P. Un atacante podría explotar estos fallos para encontrar cámaras vulnerables para luego poder acceder a ellas sin que el propietario se de cuenta.

Hasta ahora, según https://hacked.camera/ se han identificado más de 2 millones de dispositivos vulnerables, incluyendo los distribuidos por las marcas HiChip, TENVIS, SV3C, VStarcam, Wanscam, NEO Coolcam, Sricam, Eye Sight y HVCAM.

Desafortunadamente, el componente chino iLnkP2P lo utilizan también otras muchas marcas, dificultando la identificación de dispositivos vulnerables.

Comprueba si tu cámara es vulnerable

Auditorías de Seguridad en Málaga

Para saber si a tu cámara le afecta es necesario comprobar un número de serie llamado UID que puedes encontrarlo en la etiqueta en la misma cámara. Será algo parecido al siguiente código: FFFF-123456-ABCDE, donde FFFF es el prefijo del dispositivo.

Puedes comprobar aquí si se encuentra en la tabla de afectados.

Según comenta Paul en su comunicado, la mejor opción para que esta vulnerabilidad no te afecte es comprar un nuevo dispositivo de otra marca de confianza que no se vea afectada por este problema, ya que es improbable que los proveedores solucionen este fallo, y por lo general, estos dispositivos tienen incluso otros problemas de seguridad que ponen en riesgo a sus propietarios.

Si no es posible desechar el dispositivo siempre podrías neutralizar la funcionalidad P2P bloqueando el tráfico saliente al puerto UDP 32100. Aunque eso solo evitará que se acceda desde redes externas, pudiéndose acceder desde la red local.

El componente iLnkP2P es una de las soluciones P2P que utilizan los fabricantes, que a día de hoy tiene asignados varios identificadores de fallos reconocidos:

CVE-2019-11219: Vulnerabilidad de enumeración de iLnkP2P que permite a los atacantes descubrir los dispositivos que están en linea. Debido a la naturaleza P2P, un atacante puede conectarse directamente a un dispositivo sin pasar por las restricciones del cortafuegos.

CVE-2019-11220: Vulnerabilidad de autenticación en iLnkP2P que permite a los atacantes interceptar conexiones y realizar ataques Man-In-The-Middle, a través del cual se puede robar la contraseña y tomar el control.

Auditorías de Seguridad en Málaga


Desde AFS Informática recomendamos realizar auditorías periódicas y planes de concienciación continua de Ciberseguridad dentro de la empresa.

¿Te pareció interesante este artículo? Compártelo y ayúdanos a mejorar

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on whatsapp
WhatsApp
Share on telegram
Telegram

Puede que también te interese leer...

Diego Ariza

Perito Judicial Informático, experto en Informática Forense, Ciberseguridad y en Derecho Tecnológico. Certificaciones profesionales en Hacking Ético y Hacking Ético Experto, Hacking y auditorías Web y Hacking a dispositivos móviles. Consultoría y asesoramiento para empresas. Experto en desarrollo y securización de plataformas basadas en WordPress. Experto en implantación y auditoría de las principales normativas relacionadas con la seguridad para empresas: RGPD, ISO 27001, Esquema Nacional de Seguridad. Cibercooperante con el Instituto Nacional de Ciberseguridad de España (INCIBE), formador y ponente.

AFS Informática como Marca Blanca

Ofrece y externaliza nuestros servicios de Seguridad. Nunca contactaremos con tus clientes. Especial para gestorías, asesorías, bufetes de abogados, comerciales independientes, grandes empresas, etc...

Perito Judicial Informático Forense

¿Has sido o estás siendo víctima de una estafa o ataque informático?

Abrir chat