Hàng chục lỗ hổng tìm thấy trong các sản phẩm giám sát bằng video của AVTECH có thể bị khai thác bởi các botnet. 

Theo nhà nghiên cứu Search-Lab Gergely Eberhardt, tất cả các thiết bị AVTECH và tất cả các phiên bản phần mềm đều bị lỗ hổng bảo mật, bao gồm các lỗ hổng có thể cho phép kẻ tấn công kiểm soát hoàn toàn các máy ảnh và máy ghi dễ bị xâm hại.

1. Plaintext storage of administrative password (Password lưu trữ dựa trên bản text thông thường)

 
2. Missing CSRF protection ( Hỏng CSRF bảo vệ)

CSRF ( Cross Site Request Forgery) là kỹ thuật tấn công bằng cách sử dụng quyền chứng thực của người sử dụng đối với 1 website khác… Hacker sử dụng phương pháp CSRF để lừa trình duyệt của người dùng gửi đi các lệnh HTTP đến các ứng dụng Web.

 
3. Unauthenticated information disclosure under the /cgi-bin/nobody folder ( chưa chứng thực được thông tin bên dưới/ cgi-bin/ thư mục trống)

 
4. Unauthenticated SSRF in DVR devices (chưa chứng thực được SSRF trong thiết bị DVR)

SSRF là viết tắt của Server Side Request Forger – cho phép ta sử dụng máy bị khai thác, gửi đi các gói tin đến các máy khác. Những gói này có thể là HTTP request bình thường cho đến NMAP để Scanning mạng nội bộ của máy bị khai thác.

5. Unauthenticated command injection in DVR device( Chưa chứng thực được lệnh điều khiển dvr)

 
6. Authentication bypass if the URL contains the “.cab” string (Bỏ qua xác thực nếu URL chứa chuỗi “.cab”)

 
7. Authentication bypass via the the /cgi-bin/nobody folder ( Bỏ qua xác thực thư mục/ cgi-bin/ thư mục trống)

 
8. Unauthenticated file download from web root > download web ( Chưa chứng thực được tập tin tải về từ Web Root > Tải xuống Web)

 
9. Login captcha bypass via the “login=quick” parameter > đăng nhập hình chống auto login trên web (Đăng nhập captcha bỏ qua thông số “login = quick” đăng nhập hình chống tự động đăng nhập trên web)

 
10. Login captcha bypass by manually setting specific cookies (Đăng nhập captcha bỏ qua thiết lập cookie cụ thể)

 
11. Authenticated command injection in CloudSetup.cgi> quản lý điện đoán đám mây

 
12. Authenticated command injection in adcommand.cgi ( Nhập lệnh đã được thẩm định trong adcommand.cgi)

 
13. Authenticated command injection in PwdGrp.cgi (Xác thực lệnh trong PwdGrp.cgi)

 
14. HTTPS used without certificate verification > chữ ký số cho https không được kiểm chứng
Các lỗi trên được phát hiện cuối năm 2015 được phát hiện bởi Hungary –base security và được cộng đồng mạng cảnh báo 2 lần vào tháng 10 năm 2015 và tháng 5 năm 2016 và không được sửa lỗi và đã chở thành đại dịch đối với thiết bị Avtech.

Nếu gặp khó khăn với hệ thống camera của mình, hãy liên hệ với chúng tôi để được tư vấn cụ thể. 

Hotline (24/7): 0963 396 247