监控泄露：有后门存在

来自全球视频监控设备供应商的软件中的一个严重漏洞使来自100多个相机品牌和超过2,500个相机型号的视频输入的安全性面临风险。

利用安全漏洞的攻击者可以完全控制受影响的设备，允许他们监视，修改或禁用视频监控录像。

网络安全公司Tenable的高级研究工程师Jacob Baines在NVRMini2的视频管理软件中发现了一个未经身份验证的堆栈缓冲区溢出，导致远程代码执行。

该漏洞被称为Peekaboo，现在被追踪为CVE-2018-1149，并获得了严重级别的分数。

NVRMini2是一款便携式网络视频录像机（NVR），可兼作NAS（网络附加存储）设备，由NUUO创建，NUUO是一家根据OEM许可证或白标签向合作伙伴提供的设备。

NUUO产品，包括软件和硬件，用于各种行业（零售，银行，运输，教育，政府）的网络监控。

因此很难估计受影响的设备总数。然而，根据NUUO的信息，该公司在全球部署了超过100,000个安装。

“一旦被利用，Peekaboo就会让网络罪犯访问控制管理系统（CMS），暴露所有连接的闭路电视摄像机的凭证。使用NVRMini2设备上的root访问权限，网络犯罪分子可以断开现场直播并篡改安全镜头，”Tenable写在博客文章中。

目前还没有补丁，但NVR制造商表示它正在研究解决方案。建议视频监控设备的管理员仅限授权用户使用易受攻击的设备限制对网络的访问。

Baines开发了概念验证代码，演示了如何利用Peekaboo并将其公之于众。

后门也存在

Tenable在NUUO的NVR设备中发现了第二个漏洞（CVE-2018-1150），这是一个漏洞，可以列出系统上的所有用户帐户并更改密码。

与可以远程利用的Peekaboo不同，利用CVE-2018-1150错误需要在本地网络上存在。

研究人员表示不确定后门是如何进入固件的：它可能是剩余代码的结果，也可能是恶意企图的人种植的。