בשני דגמי מקליט מצלמות אבטחה של TBK נמצאה חולשה שמאפשרת להריץ פקודות על מערכת ההפעלה של המכשיר, דרך שדות בכתובת פנימית שמטפלת בהגדרות המערכת. היא דורגה 6.3 מתוך 10, ציון בינוני, וקוד שמדגים אותה פורסם בפומבי.

מה החולשה?

במקליט יש כתובת שירות פנימית, device.rsp, שהממשק שלו פונה אליה כדי לקרוא ולשנות הגדרות מערכת. בתוך הפנייה הזאת יש שדות בשמות mdb ו-mdc. הערכים שנשלחים בהם מגיעים בהמשך אל מערכת ההפעלה של המכשיר כחלק מפקודה, בלי שנבדק קודם שמדובר בערך תקין. תוקף שכותב שם תווים שמסיימים את הפקודה ומוסיפים אחריה פקודה חדשה, גורם למקליט להריץ את הפקודה שלו.

עכשיו לשאלה שהמספר מעלה: אם מדובר בהרצת פקודות, למה הציון 6.3 ולא קרוב ל-10. שתי סיבות, ושתיהן כתובות בוקטור ה-CVSS של החולשה. הראשונה היא שהתוקף נדרש לפרטי אימות כלשהם במכשיר, גם אם של משתמש מהדרגה הנמוכה, ולא יכול לפעול לגמרי מבחוץ. השנייה היא שהשפעתה על סודיות המידע, על שלמותו ועל זמינות המכשיר דורגה חלקית ולא מלאה.

מה שהציון לא מספר הוא שקוד ההשמשה פומבי. הרישום מציין במפורש שהוא פורסם, והוא זמין במאגר בגיטהאב וגם במסד הנתונים VulDB, שם מספרה 260573. חולשה בציון בינוני שכל אחד יכול להריץ נגדה כלי מוכן אינה בעיה שאפשר להשאיר לשנה הבאה.

מי מושפע?

לפי התיאור ברישום מושפעים הדגמים DVR-4104 ו-DVR-4216 של TBK, בכל גרסאות הקושחה עד 20240412, כלומר עד 12 באפריל 2024. מספר הגרסה במכשירים האלה הוא תאריך, מה שמקל על הבדיקה: אם הגרסה שרשומה בממשק המקליט ישנה מהתאריך הזה, הדגם שלכם ברשימה.

TBK הוא יצרן מקליטים ומצלמות שמוכר בעיקר למתקינים, ולא שם שרואים על מדף בחנות. בישראל מערכות כאלה מותקנות בעסקים קטנים, בבנייני דירות ובמחסנים, ולרוב מי שמתקין בוחר את הדגם ומי שמשתמש בו לא יודע מה הותקן. לכן השאלה הראשונה כאן היא פשוט לברר מה מונח בארון.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שבו מרוכזות החולשות שידוע שתוקפים מנצלים בשטח, כך שאין דיווח מאומת על ניצול. הרישום עצמו מסתפק בניסוח זהיר: הקוד שמדגים את החולשה פורסם, ולכן אפשר שייעשה בו שימוש. נכון לעדכון האחרון, זה כל מה שידוע.

מה עושים?

התחילו בזיהוי: בדקו בממשק המקליט את הדגם ואת גרסת הקושחה, והשוו לתאריך 20240412. אם הגרסה מוקדמת ממנו, חפשו באתר TBK או אצל המתקין שלכם קושחה חדשה יותר והתקינו אותה.

במקביל, טפלו בשני הדברים שמייקרים לתוקף את הדרך פנימה. ראשית, הגישה: בדקו בנתב אם קיים מיפוי פורטים שמוביל אל המקליט מהאינטרנט ובטלו אותו, וצפו במצלמות מרחוק דרך חיבור VPN לרשת. שנית, החשבונות: מכיוון שהחולשה דורשת חשבון כלשהו במכשיר, עברו על רשימת המשתמשים במקליט, מחקו חשבונות שאיש לא משתמש בהם, והחליפו כל סיסמה שנשארה כפי שהגיעה מהיצרן.