Devil's Ivy. Sårbarhet i gSOAP

En kritisk sårbarhet har upptäckts i kodbiblioteket gSOAP.

Vad har hänt?

En sårbarhet har hittats i kodbiblioteket gSOAP, som möjliggör för en fjärranvändare att exekvera godtycklig kod.

CVE-2017-9765 Devil's Ivy
Sårbarheten upptäcktes i mjukvaran i övervakningskameror från tillverkaren Axis Communications. I mjukvaran finns det ett kodbibliotek som heter gSOAP toolkit, vilket är ett tredjepartsbibliotek skapat av Genivia. Det är detta kodbibliotek som innehåller den kritiska sårbarheten.
gSOAP används också i flera lösningar från andra leverantörer enligt skaparna av gSOAP. Sårbarheten kan möjliggöra för en fjärranvändare att exekvera godtycklig kod på en sårbar enhet.

Påverkade produkter

Mjukvara eller enheter som använder sig av gSOAP upp till version 2.8.47 är potentiellt sårbara.
Den publicerade sårbarheten gäller säkerhetskameror från Axis Communications, men Genivia, skaparna av gSOAP, säger att det finns flera andra tillverkare som använder kodbiblioteket gSOAP.

Genivia släppte i juni en säkerhetsuppdatering för sårbarheten i gSOAP. [2]
Axis har också publicerat ett säkerhetsråd för deras sårbara kameror. [3]

Rekommenderad åtgärd

Uppdatera sårbara enheter och system.

Förutom att uppdatera mjukvaran så finns det andra generella säkerhetsråd gällande IoT:er (Internet of Things).

• Se till så att kameror och annan liknande säkerhetsutrustning inte är åtkomliga från internet om de inte måste vara det.
• Minimera attackytan genom att exempelvis installera en brandvägg framför enheten och tillåt endast väntad trafik.
• Om det finns standardlösenord på enheten så byt detta så fort som möjligt, gärna redan innan inkoppling till nätet om möjligt.

Mer information
En teknisk förklaring och beskrivning kring sårbarheten Devil's Ivy finns på följande webbsida:
http://blog.senr.io/devilsivy.html

Källa:

[1] http://blog.senr.io/blog/devils-ivy-flaw-in-widely-used-third-party-code-impacts-millions
[2] https://www.genivia.com/advisory.html
[3] https://www.axis.com/files/faq/ACV116267_(CVE-2017-9765).pdf