Una investigación de ESET reveló que la cámara inteligente D-Link DCS-2132L sufre de múltiples vulnerabilidades de seguridad que permiten accesos no autorizados.
Buenos Aires, Argentina – ESET, compañía líder en detección proactiva de amenazas, presentó una investigación donde revela que la cámara en la nube D-Link DCS-2132L, un dispositivo pensado como una herramienta de seguridad para hogares y oficinas, sufre de múltiples vulnerabilidades de seguridad. Las mismas permiten a un atacante no solo interceptar y ver los registros de video, sino también manipular el firmware de los dispositivos. Sobre la base de la información divulgada, el fabricante mitigó algunas de las vulnerabilidades informadas, pero otras aún no están resueltas.
“El
problema más grave con la cámara inteligente D-Link DCS-2132L es la transmisión
sin cifrar de video. En ambas conexiones, entre la cámara y la nube, y entre la
nube y la aplicación de visualización del lado del cliente, la transmisión se
ejecuta sin cifrar, proporcionando un terreno fértil para los ataques de hombre
en el medio (MitM) y permitiendo a los intrusos espiar las secuencias de video
de las víctimas.«, explica Milan Fránik, investigador
con sede en el laboratorio de ESET en Bratislava.
Imagen ilustra la vulnerabilidad en la transmisión de datos y posible vector de ataque “Man in the Middle”
Otro problema que se encontró en la
cámara estaba oculto en el complemento del navegador web «servicios
myDlink». Esta es una de las formas de la aplicación de visor disponible
para el usuario, otros incluyen aplicaciones móviles, que no formaron parte de
la investigación de ESET.
El complemento del navegador web
administra la creación del túnel TCP y la reproducción de video en vivo en el
navegador del cliente, pero también es responsable de reenviar las solicitudes
de los flujos de datos de audio y video a través de un túnel, que escucha en un
puerto generado dinámicamente en el host local.
«La vulnerabilidad de los complementos podría haber tenido graves consecuencias para la seguridad de la cámara, ya que hizo posible que los atacantes reemplazaran el firmware legítimo con su propia versión falsificada«, mencionó Fránik.
ESET reportó todas las vulnerabilidades encontradas al fabricante. Algunas de las vulnerabilidades, principalmente en el complemento myDlink, fueron mitigadas y parcheadas a través de la actualización, pero persisten los problemas con la transmisión sin cifrar.
Para obtener una descripción más detallada de las vulnerabilidades
y posibles escenarios de ataque, lea el artículo de investigación »
Vulnerabilidad en cámaras D-Link permite a un atacante espiar en las
transmisiones» en el sitio de noticias de ESET: https://www.welivesecurity.com/la-es/2019/05/02/vulnerabilidad-camaras-d-link-permite-atacante-espiar-transmisiones/
