La indignación moral no es más que envidia con aureola. - George Herbert

En junio, la totalidad de los medios de comunicación mundiales recogieron un gran ataque de un randsomeware virus llamado wannacry que atacó a un gran número de grandes empresas de medio mundo.

En julio, hace unos días salió a la luz una gran vulnerabilidad que afecta a cámaras de Axis (uno de los grandes a nivel mundial), que afecta a casi todoas los fabricantes de IoT, especialmente documentada la del fabricante de cámaras Axis Communications, pero casi nadie lo recogió de los medios de comunicación generalistas.

Devils Ivy es una vulnerabilidad descubierta por los investigadores de seguridad de la empresa Senrio.

Según afirman estos trabajadores, encontraron el fallo analizando el firmware de una cámara Axis M3004 (una muy común). Después de contactar con los distribuidores de Axis Communications, la empresa les confirmó que la vulnerabilidad afectaba a unos 249 modelos diferentes de cámaras fabricadas por ellos.

La vulnerabilidad, con CVE-2017-9765 se encuentra en la librería de código abierto gSOAP (Simple Object Access Protocol). Los detalles técnicos están en el blog de la compañía Senrio: http://blog.senr.io/devilsivy.html

Gracias a Senrio conocemos la vulnerabilidad publicada de Axis Communications, pero no sabemos exactamente cuantos más hay expuestos aunque los más de un millón de descargas de gSOAP y la facilidad con la que cualquier dispositivo puede utilizarla, suponemos que hay que revisar casi la totalidad de dispositivos IoT. En concreto, Axis Communications lanzó rápidamente un parche de seguridad el 6 de julio para arreglarla. A pesar de ello, los investigadores creen que hay muchísimos más dispositivos afectados de otras tantas marcas, como Canon, Siemens, Cisco, Hitachi, Microsoft, IBM, Adobe, Xerox. y otros tantos.

Los dispositivos IoT y en especial, el sistema CCTV es actualmente el lugar más vulnerable de cada Red. Habrá que cambiar las cosas ya. Aunque los fabricantes y Genivia hayan parcheado sus sistemas, puede que haya cientos de fabricantes y millones de dispositivos expuestos que no se hayan actualizado.

Mi propia compañía, está revisando los dispositivos IoT y CCTV de los clientes de los que mantenemos sus redes y sistemas. Seguiremos atentos a los ataques que puedan producirse en los próximos meses.