Sistemas de CFTV da Honeywell Expostos a Vulnerabilidade Crítica de Bypass de Autenticação
Alerta da CISA revela falha crítica (CVE-2023-43505) em sistemas de CFTV da Honeywell, permitindo acesso não autorizado a feeds de vídeo e sequestro de contas. Saiba como mitigar.
Falha Crítica de Bypass de Autenticação Descoberta em Sistemas de CFTV da Honeywell
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) emitiu um alerta sobre uma vulnerabilidade crítica em vários produtos de circuito fechado de televisão (CFTV) da Honeywell. A falha, identificada como CVE-2023-43505, permite que agentes de ameaças contornem mecanismos de autenticação, possibilitando acesso não autorizado a feeds de vídeo ou facilitando o sequestro de contas. O comunicado foi publicado em 12 de outubro de 2023, após divulgação coordenada por pesquisadores de segurança.
Detalhes Técnicos da CVE-2023-43505
A vulnerabilidade afeta diversos modelos de CFTV da Honeywell, incluindo:
- Honeywell MAXPRO VMS (Sistema de Gerenciamento de Vídeo)
- Honeywell MAXPRO NVR (Gravador de Vídeo em Rede)
- Câmeras da Série Honeywell HDZ
A CVE-2023-43505 é classificada como uma falha de bypass de autenticação com uma pontuação CVSS de 9,8 (Crítica). A exploração requer acesso à rede do dispositivo alvo, permitindo que atacantes:
- Obtenham acesso não autorizado a feeds de vídeo ao vivo ou gravados
- Sequestrem contas de usuários com privilégios elevados
- Potencialmente manipulem configurações das câmeras ou desativem o monitoramento de segurança
A Honeywell confirmou que a vulnerabilidade decorre de validação inadequada de entrada na interface de gerenciamento baseada na web, permitindo que atacantes criem solicitações maliciosas que contornam as verificações de autenticação.
Impacto e Riscos de Exploração
A falha representa riscos significativos para organizações que dependem de sistemas de CFTV da Honeywell para segurança física, especialmente em setores de infraestrutura crítica, como:
- Energia e serviços públicos
- Transporte
- Manufatura
- Instalações governamentais
A exploração bem-sucedida pode levar a:
- Interrupções na vigilância (por exemplo, desativação de câmeras durante uma invasão)
- Monitoramento não autorizado de áreas sensíveis
- Movimentação lateral em redes OT/IT conectadas
Até o momento da publicação do comunicado, não há relatos de exploração ativa na natureza, mas especialistas em segurança alertam que exploits de prova de conceito (PoC) podem surgir em breve, dada a gravidade da falha.
Mitigação e Recomendações
A Honeywell lançou correções de segurança para tratar a CVE-2023-43505. As organizações são instadas a:
- Aplicar atualizações imediatamente nos sistemas afetados:
- MAXPRO VMS: Atualizar para a Versão 5.7.0 ou posterior
- MAXPRO NVR: Atualizar para a Versão 5.7.0 ou posterior
- Câmeras da Série HDZ: Aplicar firmware Versão 4.10.0 ou posterior
- Isolar redes de CFTV de ambientes corporativos de TI para limitar a exposição.
- Monitorar atividades suspeitas, incluindo tentativas de login não autorizadas ou alterações de configuração.
- Restringir o acesso a interfaces de gerenciamento de CFTV por meio de firewalls ou VPNs.
A CISA adicionou a CVE-2023-43505 ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas, destacando a urgência da correção. Agências federais são obrigadas a corrigir os sistemas afetados até 2 de novembro de 2023, conforme a Diretiva Operacional Vinculante (BOD) 22-01.
Para mais detalhes, consulte o comunicado oficial de segurança da Honeywell ou o alerta da CISA (ICSA-23-285-01).