Ubiquiti תיקנה שש פרצות אבטחה במכשיר המעקב UniFi Protect AI Key

Ubiquiti תיקנה שש פרצות ב־AI Key

Ubiquiti, חברת טכנולוגיה אמריקאית שמייצרת מוצרי רשת, מפרסמת מידע על שש פרצות שנוגעות למכשיר המעקב שלה, AI Key. תוקפים שנמצאים באותה רשת יכולים להזין פקודות, לפרק או לשבור את המכשיר ולקבל גישה למידע רגיש.

UniFi Protect AI Key הוא מכשיר פיזי שמוסיף ל־UniFi Protect, מערכת המעקב הווידאו והאבטחה הפיזית ברמה הארגונית של החברה, זיהוי איומים מבוסס־AI והתראות. המכשיר מבצע חיפוש בהקלטות וידאו, מזהה פנים או לוחות רישוי ומסוגל לנתח עד 1 800 אירועי זיהוי חכמים בשעה.

הפרצה המסוכנת ביותר אינה דורשת הרשאה

הפרצה החמורה ביותר היא פרצת בקרת גישה, שמדורגת בדירוג חומרת הסיכון 8.6 מתוך 10. תוקפים זדוניים עם גישה לרשת יכולים להשתמש בה כדי להשיג מידע, לבצע שינויים ללא אישור ולבצע התקפת שירות נדחה (DoS) נגד המכשיר. לא נדרשות הרשאות מיוחדות ולא פעולה של המשתמש, וקושי התקיפה נמוך.

פרצה נוספת בעלת סיכון גבוה (8.1 מתוך 10) היא פרצה באימות קלט, שמאפשרת לתוקפים, בתנאים מסוימים, להזין פקודות למכשיר פגיע, כך נכתב בבולטין האבטחה החדש של Ubiquiti.

בעיות פחות חמורות וקריאה לעדכון

ארבע הפרצות הנותרות פחות חמורות. שתי פרצות בעלות סיכון בינוני חושפות משאבים פנימיים באמצעות המכשיר. שתי פרצות של מעבר בנתיב (path traversal) בעלות סיכון נמוך מאפשרות לתוקפים ליצור קבצים במכשיר או למחוק אותם, או להשיג מידע על קבצים קיימים. הפרצות עשויות להיות מקושרות כדי לבצע התקפה שעשויה להיות הרסנית יותר.

Ubiquiti מייחסת את הגילוי לחוקר האבטחה אנדי גילס מ־ZephrSec Ltd. בבולטין לא צוין אם פרצות אלה נוצלו בהתקפות בפועל. כל הפרצות נוגעות למכשירי AI Key שמותקנים בהם גרסה 2.2.6 או ישנה יותר. Ubiquiti מזמינה את המשתמשים לעדכן את המכשירים לגרסה העדכנית ביותר, כרגע 2.2.8, שיצאה לפני 24 ימים.

מקורות: Cybernews