CVE-2023-30146 - استغلال كاميرا ويب Assmann/HooToo - كشف البيانات الحساسة

الوصف

تم اكتشاف ثغرة في كاميرات IP ذات العلامة التجارية HooToo وAssmann. يخزّن البرنامج الثابت (firmware) بيانات اعتماد المدير والمستخدم في النسخة الاحتياطية كنص صريح (plaintext). يمكن استرجاع النسخة الاحتياطية وفك ضغطها دون مصادقة، مما يمنح المهاجم عن بُعد إمكانية الوصول إلى الشبكة.

نوع الثغرة

كشف البيانات الحساسة

نوع الهجوم

عن بُعد

التأثير

احتمال اختراق الشبكة

الخلفية

يبدو أن العديد من كاميرات IP المباعة في سوق إنترنت الأشياء (IoT) مبنية على معالج HiSilicon H35xx SoC [1]. يبدو أن البرنامج الثابت الذي يعمل على هذه الأجهزة مصنوع من قِبل شركة تدعى Foscam (Shenzhen Foscam Intelligent Tech Co. Ltd)، وهي علامة تجارية كبيرة في سوق كاميرات IP وأجهزة إنترنت الأشياء. الكاميرات التي أتناولها هنا بيعت تحت علامة HooToo وDIGITUS "Plug & View" من Assmann.

ملاحظة للمستخدمين

في وقت كتابة هذا التقرير، يمكن الوصول إلى أكثر من 800 كاميرا IP بنفس هذه المواصفات بالضبط من الإنترنت، مما يعرض الشبكات للخطر. يجب اعتبار هذا الرقم أعلى من ذلك، لأنني تحققت فقط من كاميرات IP ذات العلامة التجارية HooToo وAssmann. إذا كان لديك واحدة من الكاميرات المتأثرة في شبكتك، فيرجى التأكد من أنها لا تستطيع التواصل مع الإنترنت، وفكر في ترقيتها إلى جهاز أحدث.

إثبات المفهوم

ملاحظة: هناك سكربت إثبات المفهوم (PoC) ومن المقرر إصداره بعد شهر واحد من نشر هذا التقرير.

الفكرة الأساسية لهذا الاستغلال هي أن المهاجم يزور عنوان URL لأمر استرجاع النسخة الاحتياطية[2] في واجهة الويب الخاصة بالجهاز مباشرة. يؤدي ذلك إلى قيام الكاميرا بكتابة نسخة من الإعدادات الحالية في ملف ثنائي مضغوط يمكن تنزيله بعد ذلك. يمكن للمهاجم فك ضغط الملف الثنائي وقراءة بيانات الاعتماد، لأنها مخزنة كنص صريح. يمكن للمهاجم الآن تسجيل الدخول إلى حساب المدير. وعند هذه المرحلة، ينبغي اعتبار الشبكة مخترقة على أبعد تقدير.

الجدول الزمني للإفصاح

• 06 Apr 2022: اكتشاف أولي على Shodan وإجراء مزيد من البحث
• 22 Nov 2022: كتابة إثبات المفهوم والبحث في البائعين
• 12 Jan 2023: تواصل أولي مع البائع الجديد "Assmann"
• 13 Jan 2023: رد البائع الجديد "الكاميرات وصلت إلى نهاية دورة الحياة (EOL)."
• 07 Mar 2023: التواصل مع البائع للحصول على تحديث الحالة
• 08 Mar 2023: رد البائع الجديد "على تواصل مع المهندسين. يستغرق الأمر وقتاً بسبب الإغلاق في الصين."
• 23 Mar 2023: طلب CVE من MITRE
• 05 May 2023: تم تعيين CVE: CVE-2023-30146 [3]
• 08 Jun 2023: التواصل مع البائع للحصول على تحديث الحالة / بدون رد
• 03 Aug 2023: الإفصاح العام

المراجع والروابط

• [1] https://openwrt.org/docs/techref/hardware/soc/soc.hisilicon.hi35xx
• [2] http://www.themadhermit.net/wp-content/uploads/2013/03/FI9821W-CGI-Commands.pdf
• [3] https://www.cve.org/CVERecord?id=CVE-2023-30146

استعلام Shodan.io (HooToo/Assmann):

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"