近日有外媒揭露了一款D-Link的云端监视器含有众多安全漏洞，例如采用未加密的安全传输、允许黑客窜改韧体、或者是曝露了它的HTTP传输埠，研究人员表示，他们去年8月就知会D-Link，但迄今只有一个漏洞被修补。
ESET所分析的装置为D-Link DCS-2132L，它是夜视型的无线网络摄影机，定位为云端监视器。
研究人员指出，该云端监视器最严重的问题在于，它在传输影像时是未加密的，不管是摄影机与云端之间，或是云端与客户端程式之间，将允许黑客执行中间人（ man-in-the-middle，MitM）攻击，拦截监视器所拍摄的画面。
至于客户端程式与监视器之间则是藉由Port 2048上的代理伺服器，透过客制化D-Link通道协定的TCP通道进行通讯，但这些通道中只有部份流量有加密，而诸如对IP/MAC位址的请求、版本资讯、视讯与音讯串流等内容都未加密。
另一个重要漏洞，则是藏匿在浏览器插件程式Mydlink Services中，此一插件程式允许使用者利用浏览器来管理TCP通道的建立与即时画面的播放，也负责利用通道转发对视讯与音讯串流的请求，所含的漏洞，允许系统上的任何应用程式或使用者，无需身分认证就能存取该监视器的网页介面，也能用来置换装置韧体。
D-Link DCS-2132L上的Universal Plug and Play功能，还会把Port 80的HTTP介面曝露在公开网络上，以Shodan搜寻的结果发现全球有接近1,600个装置的Port 80曝露在外。
ESET表示，该公司在去年8月就向D-Link通报研究结果，D-Link很快就修补了Mydlink Services漏洞，但韧体从2016年11月就未更新，也未修补其它漏洞，提醒用户在利用云端监视器保护家中安全时也需留意装置的安全风险。
上文内容不用于商业目的，如涉及知识产权问题，请权利人联系博为峰小编(021-64471599-8017)，我们将立即处理。
