Investigadores de Tenable descubrieron recientemente una vulnerabilidad crítica, denominada Peekaboo, que afecta a un software utilizado para la grabación de videos y que forma parte de una solución para cámaras de seguridad CCTV que ofrece la firma NUUO. Este fallo permitiría a un atacante acceder a los registros de video y alterar las grabaciones al poder ejecutar un código malicioso de manera remota. La compañía ya lanzó un parche para solucionar esta vulnerabilidad que se puede descargar desde el sitio oficial.

La vulnerabilidad afecta al software utilizado por NVRMini2, que es un dispositivo de almacenamiento en red que graba video en formato digital y que es utilizado para cámaras de seguridad CCTV. Una vez que es explotada, permitiría a un atacante acceder al sistema de control, lo cual equivale al acceso a las credenciales para todas las cámaras de seguridad conectadas, desconectarlas y hacer cambios en los registros de las grabaciones.

Asignada con el CVE-2018-1149, esta vulnerabilidad de buffer overflow permitiría realizar un ataque que posibilitaría el acceso a la Interfaz de Entrada Común (CGI, por sus siglas en inglés) que utiliza el servidor web de la cámara, la cual actúa como punto intermedio entre un usuario remoto y el servidor web. Según la investigación, la CGI no valida de forma adecuada el ingreso del usuario y permite acceder a una parte del servidor web de la cámara y ejecutar código de manera arbitraria.

Además, una segunda vulnerabilidad (CVE-2018-1150) se aprovecha de una falla en la aplicación NVRMini2 que contiene un backdoor que puede ser usado por un atacante para conectarse el servidor web. Una vez habilitado el backdoor dentro del código PHP, permite a un atacante no autenticado modificar contraseñas de cualquier usuario registrado, excepto del administrador del sistema.

NUUO es una empresa líder en la industria de video vigilancia y este tipo de dispositivos cuentan con más de 100.000 instalaciones a lo largo de todo el mundo. Además, su software es utilizado por sistemas de vigilancia de terceros. En este sentido, teniendo en cuenta que con la solución NVRmini 2 es posible tener conectadas hasta 16 cámaras CCTV, la cantidad de dispositivos que pueden ser afectados es de cientos de miles.

La compañía anunció en un comunicado las actualizaciones correspondientes que deberán ser instaladas de forma manual para evitar ser víctima de la explotación de estas vulnerabilidades.