Tenable ブログ
ブログ通知を受信する
Peekaboo：監視カメラのハッキングに要注意
Tenable Researchは、Peekabooと呼ばれる大きなソフトウェア脆弱性を発見しました。Peekabooを悪用することにより、サイバー犯罪者は特定のビデオ監視カメラを制御し、フィードを監視したり、改ざんしたり、無効にすることができます。ここでは、現在、知られていることの概要を紹介します。
Peekabooとは
Peekabooは、世界のビデオ監視ベンダーであるNUUOが開発したソフトウェアのセキュリティ上の脆弱性です。 このソフトウェアは、閉回路テレビ（CCTV）カメラやネットワークビデオレコーダー、ストレージデバイスなどのデバイスで使用されています。 サイバー攻撃者がこの脆弱性を悪用すると、カメラを操作してオフラインにすることができます。
Peekabooの影響を受ける人
世界中の組織は、ショッピングセンター、銀行、病院、学校などの混雑した場所を保護するために、ビデオ監視システムでNUUOソフトウェアを使用しています。また、NUUOはOEMやホワイトレベルとして100以上のブランドと2,500モデルのカメラにこのソフトウェアを提供しているので、Peekabooは世界中の何十万ものWebベースのカメラや機器に影響を与える可能性があると推定されています。
Peekabooの仕組み
Peekabooは、NUUOソフトウェアを使ってサイバー犯罪者がビデオ監視カメラを制御し、フィードを監視し、改ざんしたり、無効にしたりすることを可能にします。 さらに、カメラをハッキングすると、接続している他のデバイスのカメラフィードにもアクセスできます。
サイバー攻撃者は、Peekabooの脆弱性を悪用して、ログイン資格情報やメーカーとモデル、IPアドレス、ポートなどの重要なデータを含め、ネットワークカメラの詳細を盗むことができます。これらは、管理者の知識なしに、数秒の間に発生する可能性があります。
以下のようなハックが想定されています。
Peekabooの潜在的な影響
NUUOソフトウェアを搭載したデバイスは、銀行、小売店、輸送センターなどの多様な環境で使用されています。この脆弱性を悪用すると、攻撃者はCCTVフィードを監視して、情報を秘密に収集したり、カメラを無効にしたり、セキュリティ映像を改ざんすることができます。たとえば、ライブフィードを監視領域の静止画像で置き換えることで、犯罪者がカメラで検出されずに敷地内に入ることを可能にすることができます。
Peekabooの対処方法
現時点で入手可能なパッチはありません。 影響を受けるユーザーには、脆弱なデバイスへのネットワークアクセスを許可された正当なユーザーのみに制限し、制御することをお勧めします。
Peekabooの発見
テナブルのシニアリサーチエンジニアであるJacob Bainesは、NUUO NVRMini2のPeekabooの脆弱性を発見し、その後、NUUOとの開示プロセスを開始しました。
NUUO NVRデバイスがニュースで取り上げられるのは、今回が最初ではありません。 昨年、NUUO NVRデバイスは、Reaper IoTボットネットの特定のターゲットになりました。
詳細情報
関連記事
Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD
April 26, 2024Check out what’s new in Version 15 of the MITRE ATT&CK knowledge base of adversary tactics, techniques and procedures. Plus, learn the latest details about the Change Healthcare breach, including the massive scope of the data exfiltration. In addition, why AI cyberthreats aren’t impacting CISOs’ budgets. And much more!
CVE-2024-20353, CVE-2024-20359: Frequently Asked Questions About ArcaneDoor
April 25, 2024Frequently asked questions about CVE-2024-20353 and CVE-2024-20359, two vulnerabilities associated with “ArcaneDoor,” the espionage-related campaign targeting Cisco Adaptive Security Appliances.
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.