Investigadores de la firma de ciberseguridad F-Secure han descubierto que un gran número de cámaras conectadas a Internet con el sello del fabricante chino Foscam poseen una serie de graves vulnerabilidades que facilitarían la labor de posibles atacantes, haciendo posible acceder a transmisiones de vídeo de forma ilícita, descargar archivos almacenados localmente y potencialmente infectando otros dispositivos conectados en red. Hace apenas dos meses Pierre Kim daba a conocer otro fabricante chino con cerca de 200.000 cámaras vulnerables expuestas en internet.




La descripción de los fallos de seguridad detectados en las cámaras de Foscam dejan la imagen de la compañía en una situación tan precaria como la seguridad de sus propios productos:

La enorme cantidad de vulnerabilidades ofrece a un atacante múltiples alternativas a la hora de comprometer el dispositivo. Entre las vulnerabilidades descubiertas hay credenciales inseguras por defecto y credenciales incrustadas en el código [hard coded], ambas de las cuales hacen que sea trivial para un atacante conseguir acceso sin autorización. Otras vulnerabilidades permiten realizar inyecciones de comandos de forma remota por parte de un atacante. Archivos y directorios con permisos de escritura globales permiten a un atacante modificar el código y lograr privilegios root. Funciones Telnet ocultas permiten a un atacante usar Telnet para descubrir vulnerabilidades adicionales en un dispositivo y en la red que rodea al dispositivo. Además, el cortafuegos del dispositivo no se comporta como un cortafuegos, y también revela información sobre la validez de las credenciales.

En total F-Secure ha descubierto 18 vulnerabilidades que todavía deben ser reparadas a pesar de sido alertada hace meses. Estos fallos afectan de forma más concreta a las unidades comercializadas bajo el nombre Opticam i5 HD, pero también afectan en menor medida a la Foscam C2.



Un mapa publicado por F-Secure señala a España como uno de los países con más dispositivos potencialmente vulnerables, aunque sin especificar si refleja la difusión de estas cámaras o si por el contrario denota la presencia de dispositivos IoT vulnerables en general.

Un problema añadido es que Foscam produce cámaras que después son vendidas bajo otras marcas. Sus productos también se pueden encontrar con los nombres de Chacon, Thomson, 7links, Opticam, Netis, Turbox, Novodio, Ambientcam, Nexxt, Technaxx, Qcam, Ivue, Ebode y Sab. Según informa ArsTechnica, la gente que tenga una de estas cámaras debería "considerar seriamente" utilizarlas dentro de una red local exclusiva sin acceso a otros dispositivos y desconectada de Internet.

Model Name
Opticam i5
Foscam C2

System Firmware Version
Opticam i5 1.5.2.11
Foscam C2 1.11.1.8

Application Firmware Version
Opticam i5  2.21.1.128
Foscam C2 2.72.1.32



F-Secure conoce al menos otras 14 marcas que comercializan dispositivos fabricados por Foscam:

• Chacon
• Thomson
• 7links
• Opticam
• Netis
• Turbox
• Novodio
• Ambientcam
• Nexxt
• Technaxx
• Qcam
• Ivue
• Ebode
• Sab

Incidentes como el masivo ataque DDoS que desconectó servicios como WhatsApp y Twitter han hecho que cada vez más compañías presten atención a la seguridad de los dispositivos IoT (del inglés Internet of Things) por su potencial para ser secuestrados por posibles atacantes. Las cámaras IP son con mucha diferencia uno de los dispositivos más golosos, puesto que además de contar con medidas de seguridad muy dudosas, suelen estar conectadas en red y rara vez son consideradas como una posible puerta de acceso.

Para proteger el dispositivo de ser encontrado en Internet y explotado por los atacantes, recomendamos a los usuarios sólo instale las cámaras dentro de una red o VLAN dedicada.

Como una práctica recomendada, los usuarios deben cambiar siempre la contraseña por defecto en sus dispositivos a una contraseña única y fuerte. Sin embargo, debido a la utilización de las cámaras IP Foscam de credenciales codificadas, en este caso un el atacante puede saltarse los credenciales.

Listado de Vulnerabilidades

• Insecure default credentials (cwe-255) 
• Hard-coded credentials (cwe-798)
• Hidden functionality (cwe-912)
• Command injection (cwe-77)
• Incorrect permission assignment for critical resource (cwe-732)
• Missing authorization (cwe-862)
• Improper access control (cwe-284)
• Improper restriction of excessive authorization attempts (cwe-307)
• Uncontrolled resource consumption (cwe-400)
• Cross-site scripting (cwe-79)
• Stack-based buffer overflow (cwe-121)

Sin respuesta del  vendedor

Estas vulnerabilidades  han sido reportadas al proveedor y el proveedor ha tenido varios meses para responder. Hasta la fecha no se han emitido correcciones por el proveedor.

Debido a que parece que no hay arreglos disponibles, F-Secure se ha abstenido de publicar código de explotación para los ataques de prueba de concepto 

Fuentes:
https://www.elotrolado.net/noticia_descubren-que-un-gran-numero-de-camaras-ip-tienen-contrasenas-incrustadas-e-imposibles-de-cambiar_32303