Wouter Hoeffnagel - 02 mei 2019

Kwetsbaarheden in D-Link camera maakt bespioneren gebruikers mogelijk

De D-Link DCS-2132L-cloudcamera bevat meerdere beveiligingskwetsbaarheden die toegang kunnen geven aan onbevoegde partijen. Enkele van de kwetsbaarheden zijn inmiddels door de fabrikant verholpen, maar andere problemen zijn nog niet verholpen.

De kwetsbaarheden zijn ontdekt door beveiligingsbedrijf ESET. "Het meest serieuze probleem van de D-Link DCS-2132L-cloudcamera is de onversleutelde verbinding van de videostream. Zowel de verbinding tussen de camera en de cloud, als die tussen de cloud en de app van de klant is onversleuteld. Dit geeft de mogelijkheid tot man-in-the-middle-aanvallen (MitM) en laat indringers de videostream van slachtoffers bespioneren", zo vertelt ESET-onderzoeker Milan Fránik vanuit het ESET-onderzoekslab in Bratislava.

myDlink services

Een ander ernstig probleem met deze camera werd ontdekt in de webbrowserplug-in van 'myDlink services'. Dit is één van de manieren waarop men de viewer app kan gebruiken; andere apps, zoals de mobiele variant, waren geen onderdeel van ons onderzoek.

De webbrowserplug-in beheert de TCP-tunnel en het afspelen van de livevideo in de browser van de klant. De plug-in is echter ook verantwoordelijk voor het doorsturen van datastreamverzoeken voor video en audio via een tunnel, welke zich bevindt op een willekeurige port op localhost.

"De kwetsbaarheid van de plug-in had schrijnende gevolgen kunnen hebben", zegt Fránik. "Het bood aanvallers de mogelijkheid legitieme firmware te vervangen door bijvoorbeeld hun eigen gemanipuleerde versie of een versie met een achterdeur."

Onversleutelde verbindingen nog niet aangepakt

ESET heeft de gevonden kwetsbaarheden gerapporteerd aan de fabrikant. Enkele van deze kwetsbaarheden, met name de myDlink-plug-in, zijn sindsdien aangepakt en verholpen middels een update. De problemen omtrent de onversleutelde verbinding houden echter nog stand.

Op haar blog geeft ESET een uitgebreidere toelichting van de kwetsbaarheden en mogelijke aanvalsscenario’s.

Trend Micro BW BN week 10-11-13-14-2024 Copaco | BW 25 maart tm 31 maart 2024
Trend Micro BW BN week 10-11-13-14-2024

Wil jij dagelijkse updates?

Schrijf je dan in voor onze nieuwsbrief!