Huawei: nessuna backdoor nei chip HiSilicon

Pochi giorni fa un ricercatore di sicurezza aveva divulgato i dettagli di una vulnerabilità scoperta in alcuni dispositivi di videosorveglianza che usano chip di HiSilicon. Huawei ha pubblicato un comunicato ufficiale, affermando che il bug non è presente nei chip e nel SDK forniti dalla sua sussidiaria, ma nel codice aggiunto dai produttori di terze parti.

Il ricercatore russo Vladislav Yarmak sottolinea che HiSilicon ha una lunga storia di backdoor scoperte nei firmware dei suoi chip. Una vulnerabilità simile a quella presente in alcuni dispositivi DVR/NVR e videocamere IP era stata già individuata nel 2013. Il problema risiede nell’accesso Telnet tramite le porte TCP 9530 e 9527. Anche se l’autenticazione è protetta dalla crittografia, il ricercatore ha scoperto sei password nel firmware che permettono di accedere con privilegi elevati (root) e quindi di prendere il completo controllo dei dispositivi.

Yarmak aveva inizialmente indicato un lungo elenco di produttori che vendono DVR/NVR e videocamere IP con chip vulnerabili, ma successivamente ha chiarito che la vulnerabilità è presente solo nei dispositivi basati sul software di Xiongmai. Pertanto HiSilicon non può essere considerato il responsabile della backdoor.

Huawei ha infatti dichiarato che la vulnerabilità non è presente nei chip HiSilicon, né all’interno del kit di sviluppo (SDK). Il produttore cinese ha voluto chiarire che la PSK (Pre-Shared Key) e i meccanismi di autenticazione fanno parte del software implementato dai venditori dei dispositivi. Nel codice fornito da HiSilicon è stato disattivato il protocollo Telnet. Inoltre il servizio Telnet è stato cancellato nei firmware di tutti i chip utilizzati nei dispositivi di videosorveglianza. La vulnerabilità è stata quindi introdotta da Xiongmai.