Kali ini ada korban terbaru dari masalah keamanan perangkat IoT. Yang mana kerentanan ini dimiliki oleh kamera keamanan Samsung SmartCam. Kerentanan kritis ini memberikan efek remote code execution (RCE). Yang mana bisa membiarkan hacker mendapatkan akses root dan mengambil kontrol penuh dari perangkat tersebut.
Samsung SmartCam merupakan salah satu bagian dari perangkat Samsung SmartThings. Yang memungkinkan penggunanya untuk terhubung, mengelola, memantau dan mengendalikan perangkat pintar di rumah menggunakan smartphone/tablet.
Sebenarnya Samsung sudah menambal kerentanan yang ditemukan pada tahun 2014. Namun ternyata mereka meninggalkan satu set script. Yaitu beberapa script PHP yang menyediakan update firmware melalui “iWatch”, software monitoring webcam Samsung SmartCam ini.
Script PHP tersebut memiliki kerentanan perintah injeksi. Yang dapat memungkinkan pengguna yang tidak sah/tanpa hak administrator untuk menjalankan perintah remote shell dengan hak akses root. Lalu kerentanan tersebut pada akhirnya akan memungkinkan untuk mengaktifkan sistem manajemen web yang dimatikan oleh vendor.
Exploiteers juga sudah menayangkan video demonstrasi proof-of-concept eksploitasi SmartCam:
Patch resmi kerentanan ini dari Samsung tampaknya tidak akan tersedia. Tapi kabar baiknya orang-orang di Exploiteers berbagi patch DIY (Do it Yourself) yang dapat didownload oleh pengguna SmartCam. Cara lain untuk mengurangi kerentanan ini adalah dengan menjaga SmartCam di belakang firewall jaringan.
Sangat disayangkan, sampai artikel ini dipublish, pihak Samsung belum menanggapi masalah ini.
