示意圖,與新聞事件無關。

圖片來源: 

大華

中國製造商大華(Dahua)在本周修補了旗下11款數位錄放影機(DVR)及IP攝影機的安全漏洞。發現相關漏洞的安全研究人員Bashis宣稱只要幾秒鐘就能透過相關漏洞登入這些裝置,且他還釋出了概念性驗證程式,迫使大華在隔天即釋出韌體更新。

Bashis表示,他不敢相信有這麼容易破解的裝置,因為大華把DVR與IP攝影機的配置存放在網路伺服器上,任何知道這些裝置IP位址的人都能直接下載配置檔案,配置檔中內含所有可存取該裝置的帳號資訊。

因此,要攻陷裝置很簡單,先從遠端下載配置檔之後,選擇管理員權限的帳號及雜湊密碼,再於裝置登入頁面上直接貼上帳號與密碼就大功告成了。

Bashis相信這是大華故意留下的後門,而且他說自己的原則是先通知社群再通知製造商,因為他不想聽到製造商的藉口或試圖叫他閉嘴之類的。

大華則說這是程式碼的疏失,並不是故意的,也在隔天就釋出了11款裝置的韌體更新,同時澄清這些裝置並未遭到任何的惡意攻擊。由於可能有更多的大華裝置受到波及,預期大華近期會陸續更新其他裝置的韌體,資安業者則呼籲相關裝置用戶要儘速修補。

大華公佈受影響的11款裝置:


Advertisement

更多 iThome相關內容