מצלמות PT30X של PTZOptics הן מצלמות שידור חי, מהסוג שנשלט מרחוק בסיבוב, בהטיה ובזום. בכל קושחה שלפני 6.3.40 יש במצלמה כתובת ניהול אחת שעונה גם כשהבקשה מגיעה אליה בלי שום הזדהות, ומחזירה שמות משתמשים, גיבובי סיסמאות ופרטי הגדרות. דרך אותה כתובת אפשר גם לשנות את ההגדרות. הציון הוא 9.1 מתוך 10, והחולשה נמצאת בקטלוג החולשות שידוע על ניצולן בפועל.

מה החולשה?

כל מצלמה כזאת מריצה בתוכה שרת אינטרנט קטן, ודרכו מגדירים אותה מהדפדפן. אחת הכתובות בשרת הזה, /cgi-bin/param.cgi, היא זאת שקוראת וכותבת את קובץ ההגדרות של המצלמה, וכדי להגיע אליה צריך להזדהות. כאן נמצאת הבעיה: לפי הרשומה, כשהבקשה נשלחת בלי כותרת Authorization, הכותרת שבה מצורפים פרטי ההזדהות, המצלמה אינה אוכפת את האימות כראוי ועונה בכל זאת. ההגנה תלתה את עצמה בכך שהבקשה תטרח להציג משהו שייבדק, ומי שאינו מציג דבר עובר.

מה שחוזר משם, לפי הרשומה, הוא שמות משתמשים, גיבובי סיסמאות ופרטי הגדרות. גיבוב, hash, הוא התוצאה של חישוב חד-כיווני על הסיסמה, מה שהמכשיר שומר אצלו במקום הסיסמה עצמה. הוא אינו הסיסמה, אבל הוא מה שתוקף לוקח איתו כדי לנסות לשחזר אותה במנותק, בקצב שלו.

ויש חצי שני שחשוב לא לפספס: אותה כתובת גם כותבת. הרשומה אומרת שאפשר לעדכן דרכה ערך הגדרה בודד או לדרוס את קובץ ההגדרות כולו. הווקטור תואם בדיוק את זה, עם פגיעה גבוהה בסודיות ובשלמות ובלי פגיעה בזמינות: קוראים וכותבים את ההגדרות, לא מפילים את המצלמה.

מי מושפע?

הרשומה מונה שתי משפחות מוצר, PT30X-SDI ו-PT30X-NDI-xx-G2, בכל גרסת קושחה שלפני 6.3.40. התיקון נכנס ב-6.3.40.

מצלמה כזאת אינה מוצר צרכני. בישראל מדובר במי שמשדר: אולפנים קטנים, בתי כנסת ומוסדות שמשדרים טקסים ושיעורים, אולמות הרצאות וחדרי ישיבות שצוידו במערכת וידאו. בהתקנות כאלה את העבודה עשה אינטגרטור, ומי שמחזיק את המצלמה היום לא בהכרח יודע איזו קושחה רצה עליה.

יש כאן גם נקודה שמייחדת את המכשיר הזה. מצלמה שמשדרת מיועדת מראש להיות מחוברת לרשת, ולא פעם נפתחת אליה גישה מבחוץ כדי שמי שמפעיל את השידור יוכל להתחבר אליה מרחוק. זה בדיוק התנאי שהחולשה צריכה.

האם מנוצלת בפועל?

כן. ב-4 בנובמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שנאספה עליהן ראיה לכך שתוקפים משתמשים בהן בשטח, והמועד שנקבע לתיקון בגופים הפדרליים היה 25 בנובמבר 2024.

את החולשה מצאו ופרסמו חוקרי GreyNoise, שתיארו את הגילוי ולצידו את הניתוח הטכני, וההתראה המקבילה פורסמה בVulnCheck. הפרסומים האלה מתארים אותה כחולשת יום-אפס, כלומר אחת שנעשה בה שימוש לפני שהיה תיקון זמין.

מה עושים?

עדכנו את הקושחה ל-6.3.40 או לגרסה מאוחרת יותר. רשימת גרסאות הקושחה של היצרן נמצאת ביומן השינויים של PTZOptics.

לפני העדכון ואחריו, בדקו איך המצלמה נגישה. אם בנתב או בחומת האש יש הפניית פורטים אל כתובת המצלמה, בטלו אותה. מי שצריך להתחבר אל השידור מרחוק יעשה זאת דרך VPN אל הרשת שבה המצלמה יושבת.

אחרי העדכון החליפו את סיסמת הניהול של המצלמה. אם גיבוב הסיסמה הקודמת יצא מהמכשיר, עדכון קושחה אינו מבטל אותו, והחלפת הסיסמה היא הדבר היחיד שכן. ואם אותה סיסמה משמשת גם מצלמות אחרות באותה התקנה, החליפו בכולן.

לבסוף עברו על ההגדרות עצמן וודאו שהן מה שאתם הגדרתם. דרך החולשה הזאת אפשר היה לשנות אותן, ולכן יעד שידור או כתובת שרת שאינכם מכירים הם סימן שמצדיק בדיקה.