Очередные проблемы с безопасностью Huawei. Но она может быть не при чем

Вот какая же хорошая присказка существует — ”никогда не было и вот опять”. Она как ничто другое описывафет ситуацию вокруг китайских компаний. Часто с подобными проблемами сталкиваются и другие производители, но именно китайские грешат этим куда более часто. Вот и сейчас нашлась новая уязвимость из разряда тех, которые принято называть бэкдорами. Она нашлась на уровне железа, которое производит дочерняя компания Huawei — HiSilicon. Эта уязвимость позволяет не просто следить за жертвой, но даже перехватывать управление ее устройством. Вот такая неприятная особенность железа иногда встречается. Но давайте поговорим об этом поподробнее.

Безопасность Huawei

У Huawei очередные проблемы с безопасностью. Но виновата ли она?

Уязвимость Huawei

Суть проблемы заключается в том, что оборудование, отвечающее за обработку видео, содержит несколько критических ошибок безопасности, которые позволяют удаленному неаутентифицированному злоумышленнику запускать произвольный код на этом оборудовании.

В сообщении, опубликованном на этой неделе, Алексей Коженов, ведущий инженер по безопасности продуктов в Salesforce, рассказал более подробно о проблемах с чипсетом hi3520d, созданным HiSilicon — дочерней компании Huawei. Бреши в безопасности присутствуют в программном обеспечении, разработчик которого неизвестен.

Уязвимости существуют в прикладном программном обеспечении, работающем на этих устройствах — сказал Коженов в своем сообщении. — Все уязвимости могут использоваться удаленно и могут привести к раскрытию конфиденциальной информации, отказу в обслуживании и удаленному выполнению кода. Последнее может привести к полному захвату устройства.

К критическим недостаткам относятся: административный интерфейс с паролем бэкдора, root-доступ через telnet и загрузка файла без аутентификации, что позволяет выполнять вредоносный код и внедрять команды. Все это может быть удаленно использовано для захвата уязвимого оборудования. Коженов также отметил уязвимости высокой и средней степени серьезности, а именно — переполнение буфера и способ доступа к видеопотокам RTSP без авторизации.

Многим написанное может ничего не сказать, но достаточно просто знать, что воспользовавшись этим, злоумышленники могут перехватить управление вашим устройством или скачать с него личную информацию

Безопасность

Безопасность превыше всего!

Как Huawei относится к безопасности

Huawei настаивает, что уязвимости не связаны с ее чипами HiSilicon или кодом SDK, который она предоставляет производителям, использующим ее компоненты. Если это правда, то случившиеся является чуть ли не совпадением. Теоретически может быть такое, что устройства, которые подвержены уязвимостям, кроме чипа HiSilicon, получили другое оборудование и программное обеспечение, дырявое, как швейцарский сыр.

Новые санкции против Huawei вступили в силу. Что это значит?

В заявлении компании, размещенном в Интернете, представитель Huawei сказал: ”После сообщений СМИ о предполагаемых проблемах безопасности в чипах видеообработки HiSilicon 16 сентября 2020 года компания Huawei начала немедленное расследование. После технического анализа было подтверждено, что ни одна из уязвимостей не была внесена чипами HiSilicon. Huawei выступает за скоординированное раскрытие уязвимостей всеми организациями и отдельными лицами из сферы безопасности. Так можно будет уменьшить влияние на результат расследования”.

Координационный центр CERT CMU сообщил, что уязвимости существуют в различных сетевых службах, работающих на устройствах разных производителей, использующих компоненты HiSilicon. Они являются результатом ошибок программного обеспечения, таких, как недостаточная проверка ввода и жестко заданные учетные данные.

Мы думаем, что риску подвержены только смартфоны и компьютеры, но это не так.

Какие уязвимы для взломщиков

Коженов говорит, что он проанализировал декодеры от URayTech, J-Tech Digital и Pro Video Instruments и обнаружил, что их устройства уязвимы с точки зрения некоторых или всех обнаруженных недостатков. Он также определил несколько других поставщиков, предлагающих продукты, основанные на том же чипсете, и полагает, что они тоже могут иметь указанные выше недостатки безопасности. Среди них оборудование от Network Technologies Incorporated, Oupree, MINE Technology. Blankom, ISEEVY, Orivison, WorldKast / procoder и Digicast.

Как я начал терять веру в Huawei и что будет с компанией дальше

Такое положение дел не может радовать компанию, которая и так находится в сложной ситуации. Пока ее бизнес по производству телефонов рушится на части, Huawei старается сберечь хоть что-то. Такие скандалы и обнаруженные уязвимости явно не способствуют этому.

Как будут развиваться события дальше, покажет время, но на данном этапе предложение расследования от Huawei выглядит самым правильным решением для нее. Она первая из тех, кто заинтересован в установлении истины.

Теги
Лонгриды для вас
Kirin
У Huawei уже есть лучший в мире процессор, но она пока не рассказывает об этом

Так устроена жизнь, что периодически нам приходится провожать технологии, гаджеты и прочие атрибуты современной жизни, ко которым мы привыкли. Вот опять настает такое время. Мы уже писали о том, что Huawei лишается своих чипсетов Kirin. Теперь компании придется жить и работать иначе, но как умирающая в очередной раз на сцене рок-звезда, компания должна выдать коду, которая покажет всем, кто уходит непобежденным. В качестве этой коды должен выступить процессор нового поколения, который будет использоваться в смартфонах серии Huawei Mate 40. Этот процессор уже готов, но проблема в том, что компания пока не спешит расхваливать его и заранее рассказывать о том, каким он будет. Вместо этого она взяла паузу. Вот только для чего ей это нужно? Как думаете?

Читать далее
Google делает из «Сообщений» настоящий аналог iMessage для Android

Несмотря на широкий ассортимент сервисов Google, пользователи Android годами поглядывали в сторону наработок Apple. Ключевыми службами, которые многим из них хотелось бы видеть на своей платформе, были FaceTime и iMessage. Но то ли в Купертино не горели желанием разрабатывать их кросс-платформенные версии, то ли из-за особенностей Android это было физически невозможно реализовать, но ни тот, ни другой сервис до операционной системы поискового гиганта не добрался. Поэтому Google пришлось заниматься созданием iMessage для Android и FaceTime для Android самостоятельно. Жаль только, что получилось у неё не сразу.

Читать далее
Как правильно выбрать безопасный смартфон на Android

Уж не знаю, насколько я прав, но мне всегда казалось, что пользователи Android – не большие охотники за безопасностью. Об этом говорит и нетребовательность к обновлениям, и общая небоязнь скачивать софт из неизвестных источников, которая наблюдается у большинства пользователей, и склонность раздавать приложениям любые привилегии, которые те запрашивают. Поэтому нет ничего удивительного в том, что заражения на Android случаются гораздо чаще, чем на iOS. Но если научить людей не рыть себе яму, как оказалось, довольно сложно, то вот выявить из обширного ассортимента смартфонов аппарат с наивысшим показателем безопасности – весьма и весьма легко.

Читать далее

Новый комментарий