Lỗ hổng trong Wyze Cams (CVE-2019-9564 và CVE-2019-12266) cho phép hacker truy cập thiết bị và dữ liệu. Đã có bản vá.

Ba lỗ hổng bảo mật đã được tiết lộ trong các thiết bị Wyze Cam cho phép hacker thực thi mã tùy ý và truy cập dữ liệu camera cũng như đọc thẻ SD, 1 trong số các lỗ hổng này vẫn chưa được giải quyết trong gần ba năm sau khi được thông báo.
Các lỗi bảo mật liên quan đến bỏ qua xác thực (CVE-2019-9564), lỗi thực thi mã từ xa bắt nguồn từ lỗi tràn bộ đệm dựa trên ngăn xếp (stack-based buffer overflow) (CVE-2019-12266) và truy cập không cần xác thực vào nội dung của thẻ SD (không có CVE).
Khai thác kết hợp các lỗ hổng trên cho phép hacker kiểm soát hoàn toàn thiết bị như vô hiệu hoá tính năng ghi vào thẻ SD và bật / tắt camera và xem dữ liệu từ thẻ.
Đến ngày 29/01/2022, bản vá cho lỗi truy cập thẻ SD không cần xác thực mới được phát hành.
Wyze Cam phiên bản 2 và 3 mới được vá các lỗ hổng nói trên trong khi phiên bản 1 vĩnh viễn có nguy cơ bị khai thác.
Người dùng được khuyến nghị nên theo dõi các thiết bị IoT và cách ly ra khỏi mạng để hạn chế nguy cơ tiềm ẩn.

Chi tiết tham khảo tại: Link

Các tin khác