CVE-2023-30146 - Exploit de Cámara Web Assmann/HooToo - Exposición de Datos Sensibles

Descripción

Se descubrió un problema en las cámaras IP de las marcas HooToo y Assmann. El firmware almacena las credenciales del administrador y del usuario en la copia de seguridad en texto plano. La copia de seguridad se puede recuperar y descomprimir sin autenticación, lo que otorga a un atacante remoto acceso a la red.

Tipo de Vulnerabilidad

Exposición de Datos Sensibles

Tipo de Ataque

Remoto

Impacto

Posible compromiso de la red

Antecedentes

Muchas de las cámaras IP vendidas en el mercado IoT parecen estar basadas en el SoC HiSilicon H35xx [1]. El firmware que se ejecuta en estos dispositivos parece ser fabricado por una empresa llamada Foscam (Shenzhen Foscam Intelligent Tech Co. Ltd), que es una gran marca en el mercado de cámaras IP y dispositivos IoT. Las cámaras que cubro aquí se vendieron bajo la marca HooToo y DIGITUS "Plug & View" de Assmann.

Una nota para los usuarios

Al momento de redactar este informe, más de 800 cámaras IP con exactamente estas especificaciones son accesibles desde Internet y ponen en riesgo las redes. Este número debe considerarse mayor ya que solo verifiqué cámaras IP de las marcas HooToo y Assmann. Si tiene alguna de las cámaras afectadas en su red, asegúrese de que no puedan comunicarse con Internet y considere actualizarla a un dispositivo más reciente.

Prueba de Concepto

Nota: Hay un script PoC que está programado para ser lanzado un mes después de la publicación de este informe.

El concepto básico de este exploit es que un atacante visita directamente la URL del comando de recuperación de copia de seguridad[2] en la interfaz web del dispositivo. Esto hace que la cámara escriba una copia de la configuración actual en un archivo binario comprimido que luego se puede descargar. El archivo binario puede ser descomprimido por el atacante y las credenciales se pueden leer ya que se almacenan en texto plano. El atacante ahora puede iniciar sesión en la cuenta de administrador. Como mínimo, la red debe considerarse comprometida en ese momento.

Cronología de Divulgación

• 06 Abr 2022: Hallazgo inicial en shodan e investigación adicional
• 22 Nov 2022: Escritura del PoC e investigación sobre proveedores
• 12 Ene 2023: Contacto inicial con el nuevo proveedor "Assmann"
• 13 Ene 2023: Respuesta del nuevo proveedor "Las cámaras están EOL (fin de vida útil)."
• 07 Mar 2023: Contacto con el proveedor para obtener actualización de estado
• 08 Mar 2023: Respuesta del nuevo proveedor "En contacto con ingenieros. Toma tiempo debido al cierre en China."
• 23 Mar 2023: CVE solicitado en MITRE
• 05 May 2023: CVE asignado: CVE-2023-30146 [3]
• 08 Jun 2023: Contacto con el proveedor para obtener actualización de estado / sin respuesta
• 03 Ago 2023: Divulgación pública

Referencias y Enlaces

• [1] https://openwrt.org/docs/techref/hardware/soc/soc.hisilicon.hi35xx
• [2] http://www.themadhermit.net/wp-content/uploads/2013/03/FI9821W-CGI-Commands.pdf
• [3] https://www.cve.org/CVERecord?id=CVE-2023-30146

Dork de Shodan.io (HooToo/Assmann):

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"