Sicherheitslücke in IP-Kameras: Trendnet fordert erneut zum Firmware-Update auf

Hersteller Trendnet hat diese Woche Besitzer zahlreicher von ihm vertriebener IP-Kameras erneut aufgefordert, das bereitstehende Firmware-Update einzuspielen. Dieses wurde von Trendnet schon am 6. Februar 2012 veröffentlicht. Der Hersteller beklagt aber, dass es schwierig sei, alle Kunden zu erreichen – insbesondere diejenigen, die sich nicht bei ihm registriert hätten.
Die neuerliche Aufforderung ist offenbar darauf zurückzuführen, dass die Lücke immer noch ausgenutzt wird. Außerdem hatte eine inzwischen wieder vom Netz genommene spanische Site kürzlich tausende noch angreifbarer Trendnet-Kameras aufgelistet sowie ein Twitter-Account in den vergangenen Tagen hunderte von IP-Adressen angreifbarer Kameras gepostet.
Einige von der Schwachstelle in der Firmware betroffene Modelle werden inzwischen gar nicht mehr verkauft, bei neueren Modellen besteht sie erst gar nicht. Für die älteren steht wie gesagt der Patch zur Verfügung.
Die Sicherheitslücke war von einem Nutzer namens Console Cowboy aufgedeckt worden. Wer auf den in den Kameras integrierten HTTP-Server zugreift findet dort eine cgi-Datei, bei deren Ausführung er direkt die gerade von der Kamera gemachten Aufnahmen anschauen kann. Möglich ist das, weil ein Gastmodus existierte, der nicht abschaltbar war.