Более 10 тыс. систем домашней сигнализации ABUS Secvest можно отключить удаленно

Тысячи «умных» домашних сигнализаций от компании ABUS Secvest содержат уязвимость (CVE-2020-28973), позволяющую злоумышленникам удаленно отключать системы сигнализации и подвергать дома и корпоративные помещения риску взлома и краж.

ABUS исправила проблему в январе нынешнего года, но даже спустя три месяца более 90% пользователей не применили исправление для прошивки. По словам специалистов из голландской ИБ-компании EYE, в Сети было выявлено более 10 тыс. уязвимых систем охранной сигнализации Secvest. Как сообщили эксперты, большинство систем находится в Германии, Австрии и Швейцарии.

Уязвимость содержится в панели web-администрирования системы охранной сигнализации, которую пользователи могут использовать через браузер или мобильное приложение для управления системами Secvest. Злоумышленники могут отправить специально созданный web-запрос удаленной сигнализации Secvest, подключенной к Сети, и приказать ей включить громкую сирену.

С помощью скриптов данный процесс можно автоматизировать и вызвать срабатывание сигнализацию системы безопасности в тысячах мест по всей Германии и Западной Европе. Хотя тревогу нельзя отключить с помощью одного запроса, злоумышленник может использовать ту же уязвимость для доступа и загрузки файла конфигурации системы охранной сигнализации с целью вызова других проблем.

Поскольку данный файл также содержит логины и пароли всех пользователей, зарегистрированных в системе охранной сигнализации, злоумышленник способен подключится к системе охранной сигнализации с действительными учетными данными, а затем отключить ее в определенном месте.

Информация из файла конфигурации, такая как имя системы охранной сигнализации, IP-адрес и доступ к необработанным каналам камеры, позволяет киберпреступнику определить физическое местоположение системы сигнализации. Хакеры, работающие с преступными группировками, могут использовать проблемы для организации атак на важные объекты.