Более 10 тыс. систем домашней сигнализации ABUS Secvest можно отключить удаленно

[Artifact]

Хакеры, работающие с преступными группировками, могут использовать уязвимость для организации атак на важные объекты.

Тысячи «умных» домашних сигнализаций от компании ABUS Secvest содержат уязвимость (CVE-2020-28973), позволяющую злоумышленникам удаленно отключать системы сигнализации и подвергать дома и корпоративные помещения риску взлома и краж.
ABUS исправила проблему в январе нынешнего года, но даже спустя три месяца более 90% пользователей не применили исправление для прошивки. По словам специалистов из голландской ИБ-компании EYE, в Сети было выявлено более 10 тыс. уязвимых систем охранной сигнализации Secvest. Как сообщили эксперты, большинство систем находится в Германии, Австрии и Швейцарии.
Уязвимость содержится в панели web-администрирования системы охранной сигнализации, которую пользователи могут использовать через браузер или мобильное приложение для управления системами Secvest. Злоумышленники могут отправить специально созданный web-запрос удаленной сигнализации Secvest, подключенной к Сети, и приказать ей включить громкую сирену.
С помощью скриптов данный процесс можно автоматизировать и вызвать срабатывание сигнализацию системы безопасности в тысячах мест по всей Германии и Западной Европе. Хотя тревогу нельзя отключить с помощью одного запроса, злоумышленник может использовать ту же уязвимость для доступа и загрузки файла конфигурации системы охранной сигнализации с целью вызова других проблем.
Поскольку данный файл также содержит логины и пароли всех пользователей, зарегистрированных в системе охранной сигнализации, злоумышленник способен подключится к системе охранной сигнализации с действительными учетными данными, а затем отключить ее в определенном месте.
Информация из файла конфигурации, такая как имя системы охранной сигнализации, IP-адрес и доступ к необработанным каналам камеры, позволяет киберпреступнику определить физическое местоположение системы сигнализации. Хакеры, работающие с преступными группировками, могут использовать проблемы для организации атак на важные объекты.