BDU:2024-01831 (CVE-2024-25731)

Уязвимость приложения для видеонаблюдения eSmartCam беспроводных камер серии ElinkSmart SKY30W, связанная с использованием жестко закодированного криптографического ключа AES, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации и реализовать атаку типа «человек посередине»

Опубликовано: 2024-03-08

Описание

Уязвимость приложения для видеонаблюдения eSmartCam беспроводных камер серии ElinkSmart SKY30W связана с использованием жестко закодированного криптографического ключа AES. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации и реализовать атаку типа «человек посередине»

Затрагиваемое ПО и версии

eSmartCam (2.1.5)

Способ устранения

Компенсирующие меры:
- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству;
- ограничение доступа к устройству из внешних сетей (Интернет);
- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/advisories/GHSA-3f2h-fqxh-v4qv https://github.com/actuator/com.cn.dq.ipc/blob/main/CVE-2024-25731 https://github-production-user-asset-6210df.s3.amazonaws.com/78701239/309417574-bedadcb2-852d-423e-b078-58d626e4f72a.png?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=AKIAVCODYLSA53PQK4ZA%2F20240307%2Fus-east-1%2Fs3%2Faws4_request&X-Amz-Date=20240307T082126Z&X-Amz-Expires=300&X-Amz-Signature=33347133c783d2467e2f8af4ce3164e2a510c8bfae7bbeaa12915c104bd95132&X-Amz-SignedHeaders=host&actor_id=0&key_id=0&repo_id=753419294

Проверьте безопасность своего сайта и почты → Полная проверка домена