-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden ontdekt in Kiloview P1 4G Video Encoder en P2 4G Video Encoder
Advisory ID     : NCSC-2024-0273
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2023-41917, CVE-2023-41918, CVE-2023-41919,
                  CVE-2023-41920, CVE-2023-41921, CVE-2023-41922,
                  CVE-2023-41923, CVE-2023-41926, CVE-2023-41927,
                  CVE-2023-41928
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Insufficiently Protected Credentials
                  Improper Input Validation
                  Use of a Broken or Risky Cryptographic Algorithm
                  Authentication Bypass by Primary Weakness
                  Weak Password Requirements
                  Missing Authentication for Critical Function
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Use of Hard-coded Credentials
                  Download of Code Without Integrity Check
Uitgiftedatum   : 20240702
Toepassing      : kiloview p1
                  kiloview p2
Versie(s)       :
Platform(s)     :

Beschrijving
   Er zijn kwetsbaarheden ontdekt in Kiloview P1 en P2.
   Kiloview P1 en P2 zijn hardware-oplossingen om beeldinformatie in
   HDMI-formaat te kunnen streamen. De firmware van deze systemen bevat
   een aantal ernstige kwetsbaarheden, waardoor een kwaadwillende
   aanvallen kan uitvoeren die kunnen leiden tot de volgende categorieën
   schade:
   •       Cross-Site-Scripting (XSS)
   •       Omzeilen van authenticatie
   •       Denial-of-Service (DoS)
   •       Manipulatie van gegevens
   •       (Remote) code execution (Administrator/Root rechten)
   •       Toegang tot gevoelige gegevens

   De firmware maakt gebruik van een aantal hard-coded credentials,
   waardoor een kwaadwillende toegang kan krijgen tot het systeem.
   Ook is het mogelijk om zonder authenticatie de firmware te vervangen,
   waardoor de werking van het systeem kan worden gemanipuleerd.
   Er is geen encryptie op de configuratie webinterface waardoor een
   aanvaller de communicatie kan afluisteren en credentials kan
   onderscheppen.
   Elk van de kwetsbaarheden afzonderlijk maakt misbruik mogelijk. In
   keten echter, is totale overname van het systeem mogelijk, waarmee de
   kwaadwillende volledige controle heeft over het systeem en de
   streaming data.

Mogelijke oplossingen
   De leverancier heeft besloten de kwetsbaarheden niet te verhelpen in
   de meest recente update van de firmware. Bij navraag door het NCSC
   geeft de leverancier ook geen indicatie van een oplossingstermijn.
   Wel heeft de leverancier updates uitgebracht voor de centrale
   serversystemen om misbruik daar tegen te gaan.
   Het NCSC adviseert daarom dan ook om op basis van deze informatie een
   risico-afweging te maken omtrent de inzet en het gebruik van deze
   systemen.

   Referenties:
      Reference - ncscclear
      https://advisories.ncsc.nl/advisory?id=NCSC-2024-0273

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
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=0dtI
-----END PGP SIGNATURE-----