1万を超えるABUSSecvestホームアラームシステムをリモートで無効にできます

2021/04/27 セキュリティーニュース
logo

ABUS社の Secvestの何千ものスマートホームアラームには脆弱性(CVE-2020-28973)が含まれており、攻撃者はリモートでアラームシステムを無効にし、家や企業の敷地を強盗や盗難のリスクにさらすことができます。

 

ABUS社は今年の1月に問題を修正しましたが、3か月後でも、90%以上のユーザーがファームウェアの修正を適用していません。 オランダの情報セキュリティ会社EYEの専門家によると、インターネット上で1万を超える脆弱なセキュリティ警報システムSecvestが特定されています。 専門家によると、ほとんどのシステムはドイツ、オーストリア、スイスにあります。

 

この脆弱性は、セキュリティアラームシステムのWeb管理パネルに含まれており、ユーザーはブラウザまたはモバイルアプリケーションを介してSecvestシステムを管理できます。 攻撃者は、特別に細工されたWeb要求を、ネットワークに接続されたSecvestリモートアラームに送信し、大きなサイレンを鳴らすように命令できます。

 

スクリプトはこのプロセスを自動化し、ドイツと西ヨーロッパの何千もの場所でセキュリティアラームを実行できます。 単一のリクエストでアラームを無効にすることはできませんが、攻撃者は同じ脆弱性を使用してアラームシステム構成ファイルにアクセスしてダウンロードし、他の問題を引き起こす可能性があります。

 

このファイルには、盗難警報システムに登録されているすべてのユーザーのログインとパスワードも含まれているため、攻撃者は有効な資格情報を使用して盗難警報システムに接続し、特定の場所で無効にすることができます。

 

アラームシステム名、IPアドレス、カメラのrawチャネルへのアクセスなど、構成ファイルからの情報により、サイバー犯罪者はアラームシステムの物理的な場所を特定できます。 犯罪組織と協力しているハッカーは、問題を利用して重要なオブジェクトへの攻撃を組織化することができます。

IoTは便利な反面、脆弱性が伴うので、その対応ができないと、凶器、危険を伴います。