IP-webcams Trendnet publiek bekijkbaar

Door een bug in de meest recente firmware van een bepaald type IP-webcams van fabrikant Trendnet, is de videostream live te bekijken via het internet.

De Securview Wireless Internet Camera is niet zo veilig als zijn gebruikersnaam of de slogan van fabrikant Trendnet (Networks People Trust) doet uitschijnen. Wie de meest recente firmware heeft geïnstalleerd (versie 1.1.0 build 104) loopt het risico zichzelf bloot te geven aan het hele internet.

Rechtstreekse link naar videostream
Een hacker die zichzelf Someluser noemt, legt op zijn blog uit hoe hij er achter kwam dat hij de beelden van zijn Securview Wireless Internet Camera zonder beveiliging in zijn browser kon bekijken. Dat kan, ontdekte hij, door aan het IP-adres van de webserver van de netwerkcamera simpelweg het achtervoegsel /anony/mjpg.cgi toe te voegen.

In het configuratiemenu van het apparaat is volgens de hacker bovendien nergens een optie te vinden die meekijken via deze methode onmogelijk maakt.

IP-adres moet gekend zijn
Omdat je het IP-adres van de webserver van dit type IP-webcam moet kennen om de videostreams te kunnen bekijken, ging Someluser op zoek naar een lijst met publiek gekende IP-adressen van netwerkcamera’s. Die vond hij op de website ShodanHQ .

Van de ongeveer 9.700 gekende IP-adressen op ShodanHQ bleken er zo’n 350 toe te behoren aan een Securview Wireless Internet Camera met de kwetsbare firmware. Op de publieke kladbloksite Pastebin is inmiddels een lijst verschenen met links naar de videostreams van een kleine 700 van deze kwetsbare IP-camera’s.