Dit is wat er een goed gezegde is: “het is nooit gebeurd en nu weer”. Ze beschrijft de situatie rond Chinese bedrijven als geen ander. Vaak hebben andere fabrikanten ook met soortgelijke problemen te maken, maar het zijn de Chinezen die veel vaker zondigen. En nu is er een nieuwe kwetsbaarheid gevonden uit de categorie van wat gewoonlijk backdoors worden genoemd. Het werd gevonden op hardwareniveau, dat wordt geproduceerd door een dochteronderneming van Huawei – HiSilicon. Dit beveiligingslek stelt niet alleen in staat het slachtoffer te bespioneren, maar zelfs de controle over hun apparaat over te nemen. Hier is zo’n onaangename eigenschap van ijzer dat het soms voorkomt. Maar laten we hier in meer detail over praten.
Huawei-kwetsbaarheid
De kern van het probleem ligt in het feit dat de videoverwerkingscomputer verschillende kritieke beveiligingsbugs bevat waardoor een niet-geverifieerde externe aanvaller willekeurige code op deze computer kan uitvoeren.
In een deze week gepubliceerde post, Alexey Kozhenov, hoofd beveiligingsingenieur producten bij Salesforce, sprak hij meer in detail over de problemen met de hi3520d-chipset, gemaakt door HiSilicon, een dochteronderneming van Huawei. Er zijn beveiligingslekken in software van onbekende oorsprong.
Er zijn kwetsbaarheden in de applicatiesoftware die op deze apparaten draait: zei Kozhenov in zijn bericht. – Alle kwetsbaarheden kunnen op afstand worden misbruikt en kunnen leiden tot openbaarmaking van gevoelige informatie, denial of service en uitvoering van externe code. Dit laatste kan leiden tot de volledige opname van het apparaat.
VOOR kritieke gebreken Deze omvatten: een administratieve interface met een wachtwoord voor de achterdeur, root-toegang via telnet en niet-geverifieerde bestandsuploads, die uitvoering van kwaadaardige code en injectie van commando’s mogelijk maken. Dit alles kan op afstand worden gebruikt om kwetsbare computers te kapen. Kozhenov merkte ook hoge en gemiddelde kwetsbaarheden op, namelijk een bufferoverloop en een manier om zonder autorisatie toegang te krijgen tot RTSP-videostreams.
Voor velen zegt wat er is geschreven misschien niets, maar het is voldoende om te weten dat door hiervan te profiteren, aanvallers de controle over uw apparaat kunnen onderscheppen of er persoonlijke informatie van kunnen downloaden.
Huawei’s visie op veiligheid
Huawei houdt vol dat de kwetsbaarheden niet gerelateerd zijn aan zijn HiSilicon-chips of de SDK die het levert aan fabrikanten die zijn componenten gebruiken. Als dit waar is, dan is wat er is gebeurd bijna toeval. In theorie zou het kunnen dat de apparaten die kwetsbaar zijn voor kwetsbaarheden, naast de HiSilicon-chip, andere hardware en software ontvangen, lekkend als Zwitserse kaas.
In een online verklaring van het bedrijf zei een Huawei-woordvoerder: “Na berichten in de media over vermeende veiligheidsproblemen in HiSilicon-chips voor videoverwerking Op 16 september 2020 lanceerde Huawei onmiddellijk een onderzoek. Na technische analyse werd bevestigd dat de HiSilicon-chips geen van de kwetsbaarheden introduceerden. Huawei zet zich in voor de gecoördineerde openbaarmaking van kwetsbaarheden door alle organisaties en individuen in de beveiligingsindustrie. Dit verkleint de impact op de uitkomst van het onderzoek.”
CERT Coördinatiecentrum CMU meldde dat er kwetsbaarheden zijn in verschillende netwerkdiensten die draaien op apparaten van verschillende fabrikanten die HiSilicon-componenten gebruiken. Ze zijn het resultaat van softwarefouten, zoals onvoldoende invoervalidatie en versleutelde inloggegevens.
Wie zijn kwetsbaar voor cookies
Kozhenov zegt dat hij settopboxen van URayTech, J-Tech Digital en Pro Video Instruments heeft geanalyseerd en heeft vastgesteld dat hun apparaten kwetsbaar zijn in termen van sommige of alle gevonden gebreken. Het heeft ook verschillende andere leveranciers geïdentificeerd die producten aanbieden op basis van dezelfde chipset en is van mening dat ze ook de bovengenoemde beveiligingsfouten kunnen hebben. Onder hen zijn apparatuur van Network Technologies Incorporated, Oupree, MINE Technology. Blankom, ISEEVY, Orivison, WorldKast/procoder en Digicast.
Deze situatie kan een bedrijf dat zich al in een moeilijke situatie bevindt niet tevreden stellen. Terwijl de telefoonbusiness uit elkaar valt, probeert Huawei iets te redden. Deze schandalen en ontdekte kwetsbaarheden dragen daar duidelijk niet aan bij.
Hoe de gebeurtenissen zich zullen ontvouwen, zal de tijd leren, maar in dit stadium lijkt het onderzoeksvoorstel van Huawei de meest juiste beslissing voor haar. Zij is de eerste van degenen die geïnteresseerd zijn in het vaststellen van de waarheid.
