Yeni bir araştırmaya göre, dünya genelinde 80.000'den fazla Hikvision güvenlik kamerası, 11 aydır bilinen ve kritik olarak sınıflandırılan bir komut enjeksiyonu açığına karşı hâlâ korumasız durumda. Çin devletine ait Hikvision, 100'den fazla ülkede faaliyet gösteren bir video gözetim ekipmanı üreticisi. ABD'nin 2019'da Hikvision'ı 'ulusal güvenlik için kabul edilemez risk' ilan etmesine rağmen, Amerikan kurumları da dahil olmak üzere birçok kullanıcı bu cihazları kullanmaya devam ediyor. Açık, CVE-2021-36260 koduyla tanımlanıyor ve NIST tarafından 10 üzerinden 9.8 ile 'kritik' olarak derecelendirilmiş durumda.
Araştırmacılar, açığın duyurulmasının üzerinden neredeyse bir yıl geçmesine rağmen, etkilenen cihazların büyük çoğunluğunun hâlâ yamalanmadığını tespit etti. Dahası, Rus karanlık ağ forumlarında bilgisayar korsanlarının Hikvision kameralarını istismar etmek için işbirliği aradığı ve sızdırılmış kimlik bilgilerinin satışa sunulduğu görüldü. Bu durum, Çinli tehdit grupları (MISSION2025/APT41, APT10) ve bilinmeyen Rus aktörlerin, jeopolitik hedefler doğrultusunda bu cihazları potansiyel olarak kullanabileceği endişesini doğuruyor.
Bu tür olaylar, yazılımlarını güncellemeyen birey ve kuruluşları tembellikle suçlamayı kolaylaştırsa da, gerçek daha karmaşık. Cybrary tehdit istihbaratı kıdemli direktörü David Maynor'a göre, Hikvision kameraları uzun süredir çeşitli nedenlerle savunmasız: 'Ürünleri, istismarı kolay sistemik güvenlik açıkları veya daha kötüsü varsayılan kimlik bilgileri içeriyor. Adli bilişim yapmanın veya saldırganın temizlendiğini doğrulamanın iyi bir yolu yok. Ayrıca, Hikvision'ın geliştirme döngüsünde güvenliği artırdığına dair bir işaret görmedik.'
Sorun yalnızca Hikvision'a özgü değil; IoT cihazlarının güvenliği doğası gereği zor. Comparitech'ten Paul Bischoff, 'Kameralar gibi IoT cihazlarını güvence altına almak, telefonunuzdaki bir uygulamayı güncellemek kadar kolay değil. Güncellemeler otomatik değil; kullanıcıların manuel olarak indirip yüklemesi gerekiyor ve birçok kullanıcı bu mesajı asla alamayabilir. Ayrıca, IoT cihazları güncel olmadıklarını kullanıcıya bildirmez; oysa telefonunuz bir güncelleme olduğunda sizi uyarır ve yeniden başlattığınızda otomatik olarak yükler.' Bu durum, kullanıcıların farkında olmadan savunmasız kalmasına yol açıyor.
Kullanıcıların haberi olmazken, siber suçlular Shodan veya Censys gibi arama motorlarıyla savunmasız cihazları tarayabiliyor. Bischoff, sorunun 'Hikvision kameralarının kutudan çıktığı gibi birkaç önceden belirlenmiş şifreyle gelmesi ve birçok kullanıcının bu varsayılan şifreleri değiştirmemesi' nedeniyle daha da kötüleştiğini belirtiyor. Zayıf güvenlik, yetersiz görünürlük ve denetim eksikliğiyle birleşince, bu on binlerce kameranın ne zaman güvence altına alınacağı belirsizliğini koruyor.
Peki, siz veya kuruluşunuz Hikvision kamera kullanıyorsanız ne yapmalısınız? Öncelikle, cihazlarınızın yazılımını en son sürüme güncelleyin. Hikvision, CVE-2021-36260 için yama yayınladı; ancak manuel olarak uygulanması gerekiyor. Varsayılan şifreleri mutlaka değiştirin ve güçlü, benzersiz şifreler kullanın. Cihazlarınızı internete doğrudan bağlamak yerine bir güvenlik duvarı arkasında tutun. Ağ trafiğini izleyerek şüpheli etkinlikleri tespit edin. Son olarak, tüm IoT cihazlarınızı düzenli olarak tarayın ve güvenlik açıklarını kapatmak için bir yönetim süreci oluşturun. Unutmayın, bu tür kritik açıklar yalnızca gözetim kameralarını değil, tüm ağınızı riske atar.
Kaynak: threatpost.com
