Los dispositivos DVR son una serie de dispositivos grabadores de vídeo digital muy utilizados sobre todo en sistemas de videovigilancia, tanto domésticos como en tiendas y empresas. Estos sistemas nos permiten controlar varias cámaras a la vez, grabar todo lo que ves cada una de ellas e incluso verlas todas al mismo tiempo desde una simple interfaz. Por desgracia, como la mayoría de los dispositivos IoT conectados a Internet hoy en día, estos dispositivos son vulnerables, y pueden permitir a cualquiera acceder a sus grabaciones debido a una grave vulnerabilidad que ha sido ignorada en el último mes.

Hace un mes, un investigador de seguridad descubrió una vulnerabilidad, registrada como CVE-2018-9995, que afectaba a prácticamente la mayoría de los dispositivos DVR del mercado utilizando una simple cookie creada para este fin. Para demostrar esta vulnerabilidad, este investigador de seguridad ha creado una herramienta, getDVR_Credentials, que funciona como una prueba de concepto y demuestra lo peligroso que es este fallo.

Para ello, basta con cargar una cookie en nuestro navegador similar a la siguiente, la cual se cargará a la hora de intentar conectarnos a la interfaz web del DVR y nos brindará acceso al centro de control.

$> curl "http://{DVR_HOST_IP}:{PORT}/device.rsp?opt=user&cmd=list"
 -H "Cookie: uid=admin"

Aunque en un principio parecía que el fallo de seguridad solo afectaba a los dispositivos TBK, finalmente la lista de fabricantes cuyos dispositivos DVR son vulnerables ha aumentando:

• TBK
• Novo
• CeNova
• QSee
• Pulnix
• XVR 5 in 1
• Securus
• Night OWL
• DVR Login
• HVR Login
• MDVR Login

Miles de dispositivos DVR son vulnerables y fácilmente localizables a través de Shodan

La mayoría de estos dispositivos son vulnerables, pero este no es el mayor de los problemas, sino que el peor de ellos es que todos ellos pueden ser localizados con una sencilla búsqueda en Shodan. Esta plataforma nos permite encontrar decenas de miles de dispositivos DVR que son vulnerables a estos fallos de seguridad.

Este fallo de seguridad está ya en conocimiento de los fabricantes de estos dispositivos, sin embargo, estos no se lo han tomado muy en serio y, aunque admiten que la vulnerabilidad es real, tampoco se la toman demasiado en serio ni tampoco parece que tengan demasiadas intenciones de corregirla.

Cómo mitigar esta vulnerabilidad en los dispositivos DVR

Por el momento, dada la naturaleza del exploit, las compañías pueden detectar fácilmente este tipo de ataques dado que se utilizan agentes de navegador falsos, por lo que es posible mitigarlos y bloquearlos con unas sencillas líneas de código para evitar que se puedan conectar a las interfaces de administración.

Sin embargo, esta no es una solución definitiva, ya que con unos simples cambios se podría modificar este agente y evitar estas restricciones.
Los expertos de seguridad recomiendan que, hasta que llegue una solución real a estos dispositivos, los administradores de los mismos apliquen medidas de seguridad y control basadas en IP, permitiendo que solo se conecten las direcciones IP de confianza y bloqueando todos los demás intentos de conexión no autorizados.

Fuente: Redes Zone