Avigilon: vulnerabilità Log4Shell
Motorola Solutions è a conoscenza della vulnerabilità Log4Shell, CVEs-2021-44228 e CVE-2021-45046.
La falla è una vulnerabilità RCE (remote code execution) che colpisce la libreria Java Log4J per tutte le versioni 2.15 e precedenti.
In base alle analisi attuali, i seguenti prodotti Motorola Solutions non sono interessati dalla vulnerabilità Log4J:
- Avigilon Control Center (ACC) 6.x e 7.x
- Avigilon Cloud Services (ACS)
- Telecamere Avigilon HD, H3, H4 e H5
- Codificatori Avigilon a 4 porte
- Rilevatore di presenza Avigilon (APD)
- Gestore del controllo degli accessi (ACM)
- ACM Expedite
- Mercury Hardware
- Hardware HID VertX EVO
Invece i seguenti prodotti Motorola Solutions possono essere interessati dalla vulnerabilità Log4J:
- Sistema di gestione delle decisioni Compass
Rimedio: Procedura di mitigazione in corso. Hot fix con risoluzione completa disponibile entro il 31 dicembre 2021. - Sensore intelligente Halo
Rimedio: In fase di revisione. - Altoparlante a tromba IP
Rimedio: In fase di revisione.
Come pratica generale, Avigilon raccomanda ai sui clienti di prendere regolarmente le seguenti misure:
- Assicuratevi che il vostro servizio di monitoraggio della sicurezza o di rilevamento e risposta gestita abbia applicato i controlli di rilevamento per lo sfruttamento della vulnerabilità Log4J. La Cybersecurity & Infrastructure Security Agency (CISA) fornisce una guida sui controlli di sicurezza operativi qui.
- Contattate i vostri fornitori di dispositivi di sicurezza (cioè i fornitori di firewall per applicazioni web) per confermare che tutte le capacità di rilevamento o prevenzione sono state applicate.
- Applicare tutti gli aggiornamenti forniti da Motorola Solutions e da altri fornitori, non appena possibile.
- Quando possibile, non permettere l’esposizione a internet per i sistemi Avigilon e, quando l’esposizione a internet è richiesta, applicare sempre controlli di autenticazione forti.
- Esaminare gli account utente e amministrativi per assicurarsi che non siano presenti account non autorizzati.
Per maggiori informazioni leggi l’articolo di Avligilon.
