Vaste Propagation Probalbe de Devil’s Ivy

Une vulnérabilité récemment découverte et baptisée « Devil’s Ivy » pourrait potentiellement affecter des millions de caméras qui supportent le protocole ONVIF.

L’exploit initial a été découvert sur une caméra Axis et ensuite confirmée sur 249 autres modèles de caméras Axis ; mais le problème va bien au-delà des caméras Axis. Le code vulnérable est dans le gSOAP, qui est largement utilisé par les membres d’ONVIF pour implémenter les caméras ONVIF. Le consortium ONVIF qui compte près de 500 membres et incluent des entreprises comme Bosch, Canon, Cisco, D-Link, Fortinet, Hitachi, Honeywell, Huawei, Mitsubishi, NetGear, Panasonic, Sharp, Siemens, Sony et Toshiba.

Dans un appel avec WIRED, le fondateur de Genivia et gSOAP, Robert van Engelen a dit que 34 entreprises qui utilisent gSOAP en tant que clients payants ; mais il n’a pas dévoilé leurs noms. WIRED a pris contact avec 15 entreprises majeurs citées plus haut, qui sont membres d’ONVIF le Vendredi dernier, pour savoir si elles allaient sortir des patchs pour leurs gadgets – la plupart n’ont pas répondu ou ont choisi de ne pas commenter.

Ce qui est le plus dommageant avec cette vulnérabilité, c’est de voir à quel point elle est étendue. Parce qu’elle est présente dans des librairies qui sont utilisées sur des millions de caméras. Mettre à jour les caméras potentiellement affectées serait un projet gargantuesque.

Ceci démontre bien l’importance de segmenter votre réseau ou d’utiliser des technologies comme le Cyber Verrouillage de Caméra d’Eagle Eye. Le Cyber Verrouillage de Caméra Eagle Eye isole les caméras des autres réseaux, de sorte à ce qu’elles ne puissent pas être attaquées ou utilisées si elles contiennent des trojans ou d’autres programmes malveillants. Nous ne nous attendons pas à ce que beaucoup de fabricants soient assez équipés ou organisés pour proposer des mises à jour système rapides pour tous leurs modèles de caméras afin de patcher cette vulnérabilité.

Vous pouvez lire l’article de WIRED au sujet de Devil’s Ivy ici :

https://www.wired.com/story/devils-ivy-iot-vulnerability/