Очередные проблемы с безопасностью Huawei. Но она может быть не при чем

Вот какая же хорошая присказка существует — ”никогда не было и вот опять”. Она как ничто другое описывафет ситуацию вокруг китайских компаний. Часто с подобными проблемами сталкиваются и другие производители, но именно китайские грешат этим куда более часто. Вот и сейчас нашлась новая уязвимость из разряда тех, которые принято называть бэкдорами. Она нашлась на уровне железа, которое производит дочерняя компания Huawei — HiSilicon. Эта уязвимость позволяет не просто следить за жертвой, но даже перехватывать управление ее устройством. Вот такая неприятная особенность железа иногда встречается. Но давайте поговорим об этом поподробнее.

Безопасность Huawei

У Huawei очередные проблемы с безопасностью. Но виновата ли она?

Уязвимость Huawei

Суть проблемы заключается в том, что оборудование, отвечающее за обработку видео, содержит несколько критических ошибок безопасности, которые позволяют удаленному неаутентифицированному злоумышленнику запускать произвольный код на этом оборудовании.

В сообщении, опубликованном на этой неделе, Алексей Коженов, ведущий инженер по безопасности продуктов в Salesforce, рассказал более подробно о проблемах с чипсетом hi3520d, созданным HiSilicon — дочерней компании Huawei. Бреши в безопасности присутствуют в программном обеспечении, разработчик которого неизвестен.

Уязвимости существуют в прикладном программном обеспечении, работающем на этих устройствах — сказал Коженов в своем сообщении. — Все уязвимости могут использоваться удаленно и могут привести к раскрытию конфиденциальной информации, отказу в обслуживании и удаленному выполнению кода. Последнее может привести к полному захвату устройства.

К критическим недостаткам относятся: административный интерфейс с паролем бэкдора, root-доступ через telnet и загрузка файла без аутентификации, что позволяет выполнять вредоносный код и внедрять команды. Все это может быть удаленно использовано для захвата уязвимого оборудования. Коженов также отметил уязвимости высокой и средней степени серьезности, а именно — переполнение буфера и способ доступа к видеопотокам RTSP без авторизации.

Многим написанное может ничего не сказать, но достаточно просто знать, что воспользовавшись этим, злоумышленники могут перехватить управление вашим устройством или скачать с него личную информацию

Безопасность

Безопасность превыше всего!

Как Huawei относится к безопасности

Huawei настаивает, что уязвимости не связаны с ее чипами HiSilicon или кодом SDK, который она предоставляет производителям, использующим ее компоненты. Если это правда, то случившиеся является чуть ли не совпадением. Теоретически может быть такое, что устройства, которые подвержены уязвимостям, кроме чипа HiSilicon, получили другое оборудование и программное обеспечение, дырявое, как швейцарский сыр.

В заявлении компании, размещенном в Интернете, представитель Huawei сказал: ”После сообщений СМИ о предполагаемых проблемах безопасности в чипах видеообработки HiSilicon 16 сентября 2020 года компания Huawei начала немедленное расследование. После технического анализа было подтверждено, что ни одна из уязвимостей не была внесена чипами HiSilicon. Huawei выступает за скоординированное раскрытие уязвимостей всеми организациями и отдельными лицами из сферы безопасности. Так можно будет уменьшить влияние на результат расследования”.

Координационный центр CERT CMU сообщил, что уязвимости существуют в различных сетевых службах, работающих на устройствах разных производителей, использующих компоненты HiSilicon. Они являются результатом ошибок программного обеспечения, таких, как недостаточная проверка ввода и жестко заданные учетные данные.

Мы думаем, что риску подвержены только смартфоны и компьютеры, но это не так.

Какие уязвимы для взломщиков

Коженов говорит, что он проанализировал декодеры от URayTech, J-Tech Digital и Pro Video Instruments и обнаружил, что их устройства уязвимы с точки зрения некоторых или всех обнаруженных недостатков. Он также определил несколько других поставщиков, предлагающих продукты, основанные на том же чипсете, и полагает, что они тоже могут иметь указанные выше недостатки безопасности. Среди них оборудование от Network Technologies Incorporated, Oupree, MINE Technology. Blankom, ISEEVY, Orivison, WorldKast / procoder и Digicast.

Как я начал терять веру в Huawei и что будет с компанией дальше

Такое положение дел не может радовать компанию, которая и так находится в сложной ситуации. Пока ее бизнес по производству телефонов рушится на части, Huawei старается сберечь хоть что-то. Такие скандалы и обнаруженные уязвимости явно не способствуют этому.

Как будут развиваться события дальше, покажет время, но на данном этапе предложение расследования от Huawei выглядит самым правильным решением для нее. Она первая из тех, кто заинтересован в установлении истины.

Теги
Лонгриды для вас
iOS vs. Android
Почему Google боится, что пользователи Android уйдут на iOS

Есть ли у Google основания бояться, что пользователи Android уйдут на iOS? Ну, если рассуждать здраво, то такая вероятность, конечно, есть всегда. Но текучка в данном случае – это дело абсолютно естественное, и притом взаимное. То есть и те, и другие время от времени желают сменить платформу и уходят с насиженного места к конкурентам. Чаще всего это происходит в периоды выхода новых смартфонов у топовых производителей. Осень – традиционно сезон айфонов, а зима – самсунгов и сяоми. Но может ли у пользователей появиться повод уйти не ради смартфона, а ради чего-то другого? Google полагает, что вполне.

Читать далее
Samsung
Что делать, если забыл пин-код телефона

Неприятная ситуация, в которую попадали многие владельцы смартфонов, сейчас встречается не так часто, как раньше, но все равно случается. Я говорю о забытом ПИН-коде от телефона. Системы биометрической разблокировки сделали свое дело и теперь пароль часто просто не нужен. С другой стороны, не это ли повод забыть его? Но все равно, чаще всего такое происходит в те моменты, когда долго не пользуешься смартфоном. В этой ситуации забыть код блокировки намного проще. Бывают и ситуации, когда дети могли случайно поменять ПИН или другие варианты его изменения, но результат один - смартфон не работает. Раньше можно было чуть ли не при перезагрузке сбросить настройки блокировки и получить доступ к трубке, но сейчас времена изменились. Хорошо, что другие способы остались.

Читать далее
Разрешения Android
Как узнать, какие приложения на Android используют микрофон, камеру, интернет

Мы зачастую не уделяем должного внимания приложениям, которыми пользуемся. Понятное дело, что большинство из нас не скачивают что попало, а выбирают только то, что нужно. Но это не отменяет того факта, что приложения – независимо от того, насколько мы им доверяем – могут представлять опасность. Нет, я сейчас не говорю о майнинге криптовалюты или воровстве денег с ваших банковских счетов. Я говорю о слежке, которую приложения могут устанавливать без вашего ведома. Ну, как без вашего… На самом деле с вашего, просто вы, как правило, об этом не подозреваете.

Читать далее
Новый комментарий