近期，研究人員在國內Foscam制造的IP攝像頭中發現了大量安全漏洞。據了解，這些漏洞其實早在幾個月前就已經上報給廠商了，但直到目前為止我們仍然沒有拿到可用的更新補丁。由于很多品牌的產品都使用了Foscam攝像頭，因此我們建議廣大用戶確定自己IP攝像頭的制造商，如果有必要的話還需要用戶自己動手采取緩解措施。

　　Foscam的IP攝像頭被曝存在大量安全漏洞

　　F-Secure的研究人員在Opticam i5和Foscam C2攝像頭中總共發現了18個安全漏洞。F-Secure警告稱，雖然漏洞存在于Foscam的IP攝像頭中，但目前受這些漏洞影響的品牌數量已經達到了14個之多。

　　這些漏洞包括不安全的默認憑證、硬編碼平成、隱藏的和未記錄在文檔中的Telnet功能、命令注入漏洞、身份認證缺陷、不安全的訪問控制、XSS漏洞以及一個緩沖區溢出漏洞。

　　F-Secure的網絡安全專家Janne Kauhanen表示：“由此看來，這些產品在設計之初就已經完全忽略了安全方面的因素了，開發人員主要的工作就是讓這些設備能夠正常運轉起來，而這種不考慮安全問題的做法會讓消費者陷入網絡威脅風險之中。而極具諷刺意味的事情就在于，廠商竟然標榜這些設備能夠讓你的物理環境更加的安全…”

　　像Mirai僵尸網絡這樣針對互聯網基礎設施的大規模DDoS攻擊已經引起了人們對物聯網設備安全性的擔憂，而Foscam IP攝像頭中的漏洞其嚴重程度尤為值得我們關注。F-Secure的高級安全顧問Harry Sintonen（正是他發現了這些漏洞）認為：“這些漏洞都是非常嚴重的安全漏洞，它們將允許攻擊者做到任何他們想做的事情。攻擊者可以單獨（或配合多個漏洞）利用這些漏洞在目標設備或目標網絡中實現提權?！?/p>

　　攻擊場景

　　F-Secure還給出了幾個攻擊實例。比如說，未經身份驗證的用戶可以訪問特定的設備端口，并利用命令注入漏洞向設備中添加一位新的root用戶，或啟用一個標準遠程登錄服務（Telnet）。接下來，當攻擊者通過遠程登錄服務登錄到設備之后，他們也就拿到了設備的管理員權限。

　　第二種攻擊需要利用到其中的三種漏洞。F-Secure在報告中解釋稱：“攻擊者可以利用沒有密碼的FTP用戶賬號進行登錄，然后激活隱藏的Telnet功能。接下來，攻擊者不僅能夠訪問所有的可寫文件并設置自啟動程序，而且還可以將惡意軟件添加到啟動列表中。這將允許攻擊者實現持久訪問，即便重啟設備也不會有任何影響。實際上，攻擊的實現還必須要求設備進行重啟，而且我們也有辦法來強制設備重啟?！?/p>

　　安全建議

　　由于Foscam目前還沒有提供任何的漏洞補丁，因此F-Secure建議廣大用戶只在專用網絡或VLAN環境中安裝這種IP攝像頭。在當前這種情況下，修改默認密碼并不能提升設備的安全性，因為Foscam的IP攝像頭使用了硬編碼憑證，而攻擊者可以繞過這種固定的憑證。為此，F-Secure建議廣大用戶可以使用真正隨機的管理員密碼并移除設備內置的憑證。除此之外，用戶也可以部署適當的iptable防火墻。

　　總的來說，廠商還是應該在產品設計之初就把安全問題考慮進去，如果一款產品的安全性能夠得到保證，那么廠商肯定能夠戰勝目前市場上大部分的競爭者，這也會成為廠商的一大優勢，因此想要在當前的市場環境中生存下來，在安全方面投入適當的資源絕對是必須的。

責任編輯：韓希宇