The Chinese surveillance camera manufacturer Xiongmai accused of negligence for not improving the security system of the cameras it manufactures.
CCTV son las siglas en inglés de “closed circuit televisión” que traducido al español es “circuito cerrado de televisión”, consiste en una o más cámaras de vigilancias conectadas a uno o más monitores de video o televisores que reproducen las imágenes transmitidas por las cámaras.
Otro proveedor de dispositivos IoT se añade a la lista de
aquellos que están exponiendo sus productos a atacantes por fallas de seguridad
básicas.
This time, es el fabricante chino de cámaras de vigilancia
Xiongmai acusado por investigadores de SEC Consult por la poca seguridad en el
servicio XMEye P2P Cloud. Entre los problemas que los investigadores señalaron, cabe destacarque se expusieron
The default credentials and unsigned firmware updates
which could be delivered via the service.
As a result,, warns SEC Consult, the cameras could be
used by attackers to spy on
their owners, carry out botnet instructions and even serve as
an entry point for larger network intrusions.
“Our recommendation is to stop using
Xiongmai OEM devices entirely”, recommended SEC Consult. “The company has a poor security track record,
including its role in Mirai and several other IoT botnets. There are
vulnerabilities that were disclosed in 2017, that are still unpatched in the
latest firmware version”.
Enabled by default, the P2P Cloud service
permite a los usuarios conectarse de forma remota a dispositivos mediante un
navegador web o una aplicación iOS / Android y controlar el hardware sin
necesidad de una conexión de red local.
Unfortunately, según explicó SEC Consult, the
deficiencias tanto en los dispositivos como en el servicio, como las conexiones
no cifradas y las contraseñas predeterminadas (los propietarios no tienen que
cambiar los valores predeterminados al configurar el dispositivo) significan
What, en muchos casos, la vulnerabilidad de la cámara podría usarse como trampolín
para atacar sistemas superiores.
In addition, según las notas de la SEC Consult, los dispositivos
Xiongmai no requieren que las actualizaciones de firmware estén firmadas, the
que significa que un atacante podría instalar actualizaciones de firmware
loaded with malware to create a botnet or carry out further attacks on the network
local.
“This is possible either by modifying the systems of
files, contained in a firmware update, or modifying the file
InstallDesc, which is a text file that contains commands that are executed
during the update, explain the researchers.
In addition, SEC Consult accuses Xiongmai of ignoring the
security warnings and of not taking basic precautions.