Especialistas de Fortinet, aseguran haber observado durante el mes de abril de 2023, numerosos intentos de explotar una falla sin parchear de 5 años en dispositivos de la empresa Visión TBK (DVR), proveedora de dispositivos de CCTV (Circuito Cerrado de Televisión), DVR (Grabadoras de Video Digital), entre otros. Esta vulnerabilidad, que tiene disponible una prueba de concepto (PoC), no cuenta con una corrección que aborde activamente dicha falla, la cual se dio por un error al manejar una cookie HTTP creada maliciosamente, denominada (CVE-2018-9995).

Según un aviso emitido por FotiGuard Labs, un atacante puede utilizar esta falla operando de manera remota activando un exploit enviado a la cookie maliciosa para omitir la autenticación y obtener privilegios elevados, accediendo así a las transmisiones de video de la cámara.

Los modelos afectados según Fortinet son las líneas de producto DVR4104 y DVR4216 que también se renombran como CeNova, DVR Login, HVR Login, MDVR Login, Night OWL, Novo, QSee, Pulnix, Securus y XVR 5 en 1.

Por otro lado, aseguran haber detectado además un aumento considerable en la explotación de (CVE-2016-20016), otra vulnerabilidad critica dada mediante la inyección de comandos antiguos que afecta a modelos como MVPower CCTV DVR, incluidos TV-7104HE 1.8.4 115215B9 y TV7108HE.

Al momento no existe ningún parche proporcionado por el proveedor para mitigar estos tipos de ataques, por lo que Fortinet recomienda verificar los modelos de sistemas CCTV instalados y equipos catalogados como modelos vulnerables, como una forma de mejorar la seguridad de las instalaciones de infraestructura crítica en las organizaciones.

Fuente:

https://thehackernews.com/2023/05/hackers-exploiting-5-year-old-unpatched.html

https://sensorstechforum.com/es/cve-2018-9995-in-tbk-devices-exploited-in-the-wild/