Un bug di 3 anni sulle Wyze Cam, permetteva l’accesso a immagini e video archiviati.

Bitdefender ha rilevato delle vulnerabilità all’interno delle telecamere di sicurezza di Wyze Cam, dove si è scoperto che uno dei bug esisteva nel codice da circa tre anni e consentiva l’accesso remoto a video e immagini archiviati sulle schede di memoria locali delle fotocamere, senza autenticazione.

Un bug a cui non è stato ancora assegnato un identificatore CVE ha consentito l’accesso al contenuto della scheda SD nella telecamera tramite un server web in ascolto sulla porta 80.

Il fatto è che quando si inserisce una scheda SD in una Wyze Cam, un collegamento simbolico ad essa viene creato automaticamente nella directory www che è servita da un server web ma non ha restrizioni di accesso.

Oltre al video, all’audio e alle immagini ricevuti dalla telecamera, la scheda SD memorizza anche tutti i registri del dispositivo, che contengono l’UID e l’ENR (chiave di crittografia AES). La divulgazione di questi dati consentirà a un utente malintenzionato di ottenere l’accesso remoto senza ostacoli al dispositivo.

È interessante notare che la vulnerabilità è stata scoperta dai ricercatori di Bitdefender nel marzo 2019 insieme ad altri due problemi relativi al bypass dell’autenticazione (CVE-2019-9564) e al controllo remoto (CVE-2019-12266). 

Questi bug sono stati corretti dal produttore nel 2019-2020 e le patch sono state incluse nelle versioni firmware aggiornate.

Anche il terzo e più pericoloso bug relativo alla scheda SD ha ricevuto una correzione, ma è stato rilasciato solo di recente, il 29 gennaio 2022. Considerando che tali dispositivi vengono solitamente utilizzati con configurazioni di default, è probabile che la maggior parte delle Wyze Cam stia ancora eseguendo del firmware vulnerabile.

Vale la pena ricordare che gli aggiornamenti sono disponibili solo per Wyze Cam v2 e v3 rilasciati a febbraio 2018 e ottobre 2020. Wyze Cam v1, rilasciato nell’agosto 2017, non ha ricevuto alcuna patch poiché il supporto per questo modello è stato interrotto alla fine del 2020.

Di conseguenza, gli esperti di Bitdefender consigliano agli utenti di abbandonare Wyze Cam v1 il prima possibile e di smettere del tutto di utilizzare fotocamere obsolete, mentre il resto dovrebbe aggiornare il firmware il prima possibile.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks