Devil's Ivy est une vulnérabilité de sécurité qui, lorsqu'elle est exploitée, permet à un attaquant d'accéder à distance à un flux vidéo et de refuser au propriétaire l'accès au flux. En juillet 2017, la société de sécurité Senrio a découvert une vulnérabilité de dépassement de tampon de pile dans la boîte à outils tierce open source gSOAP, qui est utilisée dans des millions d'appareils Internet des objets (IoT), y compris les caméras de sécurité de nombreux fournisseurs.
Senrio a surnommé la vulnérabilité «Devil's Ivy» car, comme l'usine Devil's Ivy, l'attaque est capable de se propager rapidement et est presque impossible à éradiquer complètement une fois qu'elle a commencé à se propager. Cela est en partie dû au fait que gSOAP est inclus dans une boîte à outils qui a été téléchargée des millions de fois et qui est actuellement présente sur des milliers d'appareils.
À titre d'exemple, la vulnérabilité Devil's Ivy a été trouvée sur 249 caméras vidéo vendues par le fabricant Axis, qui est la société Senrio a découvert pour la première fois la faille Devil's Ivy.
Comment les attaquants peuvent exploiter la faille de lierre du diable
Pour lancer une attaque sur la vulnérabilité Devil's Ivy, un pirate informatique envoie une charge malveillante sur le port 80, auquel point la caméra ou le périphérique IoT déclenche le débordement de la pile de la mémoire tampon et lance l'exécution de code à la discrétion de l'attaquant.
Dans le pire des cas, un attaquant pourrait s'attaquer à l'exploit Devil's Ivy pour espionner et collecter des informations vidéo sensibles ou empêcher la vidéo d'événements criminels comme un vol d'être observée ou enregistrée.
Le développeur du logiciel gSOAP, Genivia, a publié une mise à jour logicielle avec un correctif pour la vulnérabilité Devil's Ivy, mais les caméras vidéo et autres appareils Internet des objets sont rarement mis à jour avec de nouvelles versions de logiciels dans la plupart des cas. En conséquence, la vulnérabilité restera probablement un problème dans des millions d'appareils dans un avenir prévisible.