Des chercheurs en sécurité de la société Tenable viennent de découvrir une faille critique zero-day dans les systèmes de vidéosurveillance de l’éditeur taïwanais Nuuo. Baptisée « Peekaboo », cette vulnérabilité permet d’exécuter du code arbitraire à distance sur les serveurs vidéos, comme le NVRMini2, un appareil connecté en réseau dédié à l’enregistrement et au stockage, que les experts ont pu tester. Mais d’autres appareils sont probablement vulnérable car les logiciels de Nuuo sont également installés sous marque blanche dans les produits d’autres fabricants.
Cette faille est particulièrement dangereuse dans la mesure où un attaquant peut mener son attaque tranquillement depuis la Toile. Il lui suffit de provoquer un dépassement de mémoire tampon dans les services web dédiés à l’administration et la consultation des vidéos, pour ensuite se connecter directement en Telnet sur le serveur vidéo. « Un attaquant peut ainsi obtenir un accès total au système et prendre le contrôle sur les flux vidéos et les enregistrements. De plus, il peut intercepter en clair les identifiants nécessaires pour se connecter aux caméras », explique Tenable.
Les systèmes de Nuuo sont utilisés principalement par des entreprises et des collectivités locales. On les trouve dans tous les secteurs économiques : banque, logistique, commerce, industrie, organisations gouvernementales, etc. Selon Tenable, plusieurs centaines de milliers de caméras seraient impactés par cette faille de sécurité dans le monde.
Du coup, on voit tout de suite le problème. Toutes ces caméras de surveillance sont censées fournir une protection. Mais si ces systèmes perdent leur intégrité et que des pirates peuvent s’y connecter, ces caméras ne protègent plus rien. Pire, ils peuvent même devenir la source du mal dans la mesure où des malfrats peuvent les utiliser pour espionner des installations. Pour l’instant, aucun patch n’est disponible. Alerté par Tenable, Nuuo explique néanmoins travailler sur un correctif.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
