CVE-2023-30146 - Exploit per Webcam Assmann/HooToo - Esposizione di Dati Sensibili

Descrizione

È stato scoperto un problema nelle IP camera dei marchi HooToo e Assmann. Il firmware memorizza le credenziali di amministratore e utente nel backup in chiaro. Il backup può essere recuperato e decompresso senza autenticazione, consentendo a un attaccante remoto l'accesso alla rete.

Tipo di vulnerabilità

Esposizione di dati sensibili

Tipo di attacco

Remoto

Impatto

Possibile compromissione della rete

Contesto

Molte delle IP camera vendute nel mercato IoT sembrano essere basate sul SoC HiSilicon H35xx [1]. Il firmware in esecuzione su questi dispositivi sembra essere prodotto da un'azienda chiamata Foscam (Shenzhen Foscam Intelligent Tech Co. Ltd), un grande marchio nel mercato delle IP camera e dei dispositivi IoT. Le telecamere trattate qui sono state vendute con i marchi HooToo e DIGITUS "Plug & View" di Assmann.

Una nota per gli utenti

Al momento della stesura di questo Write-Up, oltre 800 IP camera con esattamente queste specifiche sono accessibili da Internet e mettono a rischio le reti. Questo numero va considerato più alto, dato che ho controllato solo le IP camera dei marchi HooToo e Assmann. Se avete una delle telecamere interessate nella vostra rete, assicuratevi che non possano comunicare con Internet e valutate di passare a un dispositivo più recente.

Prova di concetto

Nota: uno script PoC sarà rilasciato un mese dopo la pubblicazione di questo write-up.

Il concetto di base di questo exploit è che un attaccante visita direttamente l'URL del comando di recupero del backup[2] nell'interfaccia web del dispositivo. Questo fa sì che la telecamera scriva una copia delle impostazioni correnti in un file binario compresso che può poi essere scaricato. Il file binario può essere decompresso dall'attaccante e le credenziali possono essere lette, poiché sono memorizzate in chiaro. L'attaccante può ora accedere all'account amministratore. A questo punto la rete dovrebbe essere considerata compromessa.

Cronologia della divulgazione

• 06 Apr 2022: Prima scoperta su Shodan e ulteriori ricerche
• 22 Nov 2022: Scrittura della PoC e ricerca sui vendor
• 12 Gen 2023: Primo contatto con il nuovo vendor "Assmann"
• 13 Gen 2023: Risposta del nuovo vendor "Le telecamere sono EOL."
• 07 Mar 2023: Contatto con il vendor per un aggiornamento sullo stato
• 08 Mar 2023: Risposta del nuovo vendor "In contatto con gli ingegneri. Ci vorrà tempo a causa del lockdown in Cina."
• 23 Mar 2023: Richiesta CVE a MITRE
• 05 Mag 2023: CVE assegnato: CVE-2023-30146 [3]
• 08 Giu 2023: Contatto con il vendor per un aggiornamento sullo stato / nessuna risposta
• 03 Ago 2023: Divulgazione pubblica

Riferimenti e link

• [1] https://openwrt.org/docs/techref/hardware/soc/soc.hisilicon.hi35xx
• [2] http://www.themadhermit.net/wp-content/uploads/2013/03/FI9821W-CGI-Commands.pdf
• [3] https://www.cve.org/CVERecord?id=CVE-2023-30146

Dork Shodan.io (HooToo/Assmann):

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"