>>
30-juni-2020, min. leestijd

Veel D-Link IP-camera’s nog steeds gevoelig voor reeds ontdekte kwetsbaarheid

Veel IP-camera’s van het Taiwanese merk D-Link zijn nog steeds gevoelig voor de reeds bekende CVE-2018-18441-kwetsbaarheid. Dit werd ontdekt door stagiair Timo Musters die bij Computest zijn afstudeeronderzoek doet naar de veiligheid van IP-camera’s.

Uitlezen gevoelige gegevens

Door de CVE-2018-18441-kwetsbaarheid is een aanvaller die zich op hetzelfde netwerk als deze IP-camera bevindt in staat op afstand gevoelige gegevens zoals de productnaam, leverancier, model, firmwareversie, IP-adres en MAC-adres uit te lezen. Met deze gegevens kunnen aanvallers gerichter zoeken naar bekende kwetsbaarheden in de IP-camera.

Verouderde firmware

De camera’s van D-Link zijn relatief veilig als ze up-to-date zijn en op de juiste manier worden geconfigureerd. Tijdens het onderzoek van Timo kwam echter naar voren dat de camera’s van D-Link in veel gevallen nog verouderde firmware gebruiken, waarin deze kwetsbaarheid nog niet is opgelost. Timo onderzocht vier Nederlandse camera’s van het merk en ontdekte dat deze allemaal draaiden op verouderde firmware.

Geen automatische updates

De oorzaak hiervan is dat het voor D-Link-gebruikers lastig is de nieuwste firmware te downloaden en installeren. De fabrikant biedt geen mogelijkheid om automatisch de nieuwste firmware te downloaden. Dit kan alleen handmatig op een onoverzichtelijke website of via het downloaden van de mydlink mobiele app. Gebruikers met een geregistreerd D-Link account krijgen dan een melding dat er nieuwe firmware beschikbaar is en kunnen deze dan handmatig downloaden.

Download het hele onderzoek

Wil je meer weten over dit probleem bij D-Link-camera’s? Download aan de rechterkant van deze pagina het volledige onderzoek.

Stageplaats

Heb je interesse in een stage waarbij je ook dit soort security-onderzoeken kunt uitvoeren? Neem dan contact op met onze recruiter Stefan Langerak via slangerak@computest.nl of +31 (0)6 28 75 90 51.

Onze hackers

Zou je in contact willen komen met onze ethische hackers? Mail of bel

Deze website werkt het beste met JavaScript ingeschakeld