近日，中國Foscam公司制造的IP攝像機被曝存在多個安全漏洞。而在幾個月前，這些漏洞信息就已經提交給了制造商，只是至今未曾修復。此外，還有其他一些品牌會銷售Foscam制造攝像機，如OptiCam。所以，建議用戶檢查自家使用的IP攝像機的制造商，如有必要，請立即采取緩解措施，將損害降到最低。

Foscam制造的攝像機存在18個安全漏洞

據悉，這些漏洞是由F-Secure公司安全研究人員發現的，共計18個，主要存在于Opticam i5和Foscam C2攝像機中。但是，F-Secure研究人員警告稱，這些漏洞可能遍布整個Foscam產品線，而且可能其所有14個獨立品牌下銷售的Foscam制造的攝像機也存在安全問題。

F-Secure得知，目前至少有14個其他品牌正在銷售Foscam制造的設備，大家可以自行檢查：

Chacon
Thomson
7links
Opticam
Netis
Turbox
Novodio
Ambientcam
Nexxt
Technaxx
Qcam
Ivue
Ebode
Sab

這些安全漏洞包括不安全的默認憑證、硬編碼憑證、隱藏和未記錄的Telnet功能、命令注入缺陷、缺少授權、訪問控制不當、跨站點腳本以及緩沖區溢出漏洞等。所有這些漏洞信息都在今天發布的 報告 中進行了詳細說明。

【全球各地成千上萬的設備面臨威脅】

F-Secure的網絡安全專家Janne Kauhanen表示：

在這些產品的設計過程中，安全性被拋之腦后，開發人員只關心能夠盡快地將產品推出市場供用戶使用。但是，這種對安全性的關注不足使得使用者面臨著嚴重的安全風險。

如今，談到遠程設備（特別是攝像機）安全性的問題。人們更多關注的可能是未來會由此組建的僵尸網絡以及進一步實施的大規模DDoS攻擊，但是現在，單單只說Foscam漏洞的數量和嚴重程度就已經足夠引發關注和擔憂。

發現這些漏洞的F-Secure高級安全顧問Harry Sintonen評論說：

這些漏洞的糟糕程度難以想象，它們允許攻擊者做任何想做的事，攻擊者可以逐個利用它們，或是混合使用，以便在設備和網絡系統中獲取更大程度的權限。

F-Secure還在報告中提供了幾個示例攻擊。例如，未經身份驗證的用戶能夠訪問特定端口，可以使用命令注入為設備添加新的root用戶，并啟用標準的遠程登錄服務（Telnet）。然后，當通過此遠程登錄服務登錄時，他們就有了設備的管理員權限。

第二個攻擊示例中，攻擊者可以使用三個單獨的漏洞實施攻擊。F-Secure的報告解釋說：

FTP用戶帳戶上的空密碼可以用于登錄，隨后隱藏的Telnet功能就可以被激活。之后，攻擊者可以訪問全域可寫（world-writable）文件（控制哪些程序可以在啟動時運行），然后將自己添加到列表之中。這樣一來，即使設備重新啟動，攻擊者依然可以進行持續訪問。

安全建議

目前，由于Foscam尚未提供修補程序，因此F-Secure建議用戶只能將攝像機安裝在專用網絡或VLAN內。它還指出，在此次問題中，更改默認密碼并不能增強安全性，因為“由于Foscam IP攝像機使用了硬編碼憑證，在這種情況下，攻擊者可以繞過憑證。”

當然，修復責任仍然是屬于制造商的。F-Secure為Foscam列出了12條建議，包括安裝“真正隨機的默認管理密碼”、刪除內置的憑證以及執行適當的iptables防火墻等。

概括來說，F-Secure建議供應商應該一開始就將產品的安全性考慮到設計過程中。該報告指出，

擁有產品安全流程，并將適量的資源投入到安全中是與競爭對手拉開差距的重要因素。而對安全設計實踐過程進行有效的監管也是幫助供應商獲取優勢的重要步驟。

關于Foscam

福斯康姆（FOSCAM）是一家專注于設計、研發、制造及銷售網絡攝像機、網絡視頻錄像機等產品的國家級高新技術企業。旗下包括福斯康姆、福智達兩家全資子公司和一家分公司——光明分公司。

今年年初，Foscam成功獲得數千萬A輪融資，并將其用于布局智能安防全產業鏈，打造專業化一站式安防解決方案。