shinycolumn/cve-2025-56799# Vulnerabilità di Iniezione di Comandi del Sistema Operativo tramite la Pianificazione di Pulizia della Cache nell'Applicazione Desktop Reolink
L'Applicazione Desktop Reolink (versione 8.18.12) contiene una vulnerabilità di iniezione di comandi del sistema operativo nella sua funzionalità di scheduler per la pulizia della cache (coverCacheClearScheduler). L'applicazione costruisce un comando shell del sistema operativo utilizzando un percorso di cartella temporanea letto da un file di configurazione situato all'interno di . Poiché questo valore di percorso manca di una corretta sanificazione dell'input, un attaccante può manipolarlo per iniettare comandi arbitrari del sistema operativo.
%LOCALAPPDATA%Questa vulnerabilità viene attivata dallo scheduler, che viene eseguito automaticamente ogni giorno alle 3:00, fornendo all'attaccante persistenza sul sistema. Inoltre, il comando iniettato viene eseguito come parte del legittimo processo Reolink.exe firmato digitalmente, il che garantisce furtività eludendo il rilevamento da parte delle soluzioni di sicurezza.
L'applicazione inizializza uno scheduler per essere eseguito ogni giorno alle 3:00:
{
key: "clearCoverCacheRegularly",
value: function () {
if (this.coverCacheClearScheduler) {
var e = new Date(),
t = new Date(
e.getFullYear(),
e.getMonth(),
e.getDate(),
3,
0,
0,
).getTime();
(e.getTime() > t &&
(t = new Date(
e.getFullYear(),
e.getMonth(),
e.getDate() + 1,
3,
0,
0,
).getTime()),
this.coverCacheClearScheduler.add({
id: this.clearCoverCacheTaskId,
name: "clearCoverCache",
unit: r.ETaskUnit.DAY,
interval: 1,
args: !1,
execute: this.removeCoverCacheDir,
nextTime: t,
isInExact: !0,
}),
this.coverCacheClearScheduler.start());
}
},
}
La funzione eseguita dallo scheduler costruisce una stringa di comando shell utilizzando la seguente logica:
p(
"darwin" === process.platform
? "rm -rf ".concat(t)
: "rd /s /q ".concat(t),
function (t) {
//...
Su Windows, il comando risultante è:
rd /s /q %LOCALAPPDATA%\Temp\reolink\<CARTELLA_TEMP>\playback-covers
Su macOS, il comando risultante è:
rm -rf ~/Library/Caches/reolink/<CARTELLA_TEMP>/playback-covers
Poiché <CARTELLA_TEMP> non viene sanificato correttamente, un attaccante può iniettare comandi aggiuntivi tramite la manipolazione del nome della cartella, portando all'esecuzione di comandi:
rd /s /q %LOCALAPPDATA%\Temp\reolink\& <COMANDO> &\playback-covers
rm -rf ~/Library/Caches/reolink/& <COMANDO>; echo /playback-covers
Attivare l'attacco richiede la modifica locale di file, il che necessita di un'altra vulnerabilità, dell'esecuzione di malware o dell'accesso fisico al sistema.
Sebbene l'attivazione iniziale sia relativamente difficile, l'attacco è altamente efficace una volta riuscito, poiché fornisce persistenza rieseguendo automaticamente il payload ogni giorno alle 3:00. Questa persistenza è ulteriormente potenziata dalla natura dell'applicazione come strumento di sicurezza fisica, che spesso viene lasciata in esecuzione 24 ore su 24, 7 giorni su 7. Supporta inoltre una funzionalità di 'avvio all'accensione', garantendo che il payload sopravviva ai riavvii.
Inoltre, l'attaccante ottiene una notevole furtività. Il comando viene eseguito come parte del processo fidato Reolink.exe firmato digitalmente, rendendolo altamente efficace nell'eludere le soluzioni EDR e di whitelisting delle applicazioni. Questa è una classica tecnica Living Off the Land (LOTL).
L'attacco può essere eseguito lanciando poc.py, che modifica il file di configurazione locale. Ciò è reso possibile concatenando altre vulnerabilità relative a una crittografia insufficiente (CVE-2025-56801 e CVE-2025-56802), che vengono utilizzate per decrittare e ricrittare il file di configurazione.
Normalmente, il payload verrebbe attivato solo alle 3:00. Tuttavia, poiché l'applicazione non utilizza il packaging ASAR, il codice può essere modificato per attivare la vulnerabilità immediatamente a scopo dimostrativo.
Il risultato dell'esecuzione è il seguente:
Per maggiori dettagli, fare riferimento a CVE-2025-56801 per la Vulnerabilità di Generazione dell'IV AES-CFB e a CVE-2025-56802 per la Vulnerabilità di Generazione e Gestione della Chiave AES-CFB.
Per risolvere fondamentalmente questa vulnerabilità di iniezione di comandi del sistema operativo, è necessario evitare di includere direttamente valori letti da fonti esterne non fidate, come i file di configurazione utente, nelle stringhe di comando shell del sistema operativo. La soluzione raccomandata è sostituire l'uso di comandi shell come rd o rm con API native che trattano il percorso come dati puri, non come un comando, come ad esempio fs.rm() di Node.js. Questo metodo elimina completamente questa classe di vulnerabilità.
Se la costruzione di un comando shell è assolutamente inevitabile, deve essere implementata una logica difensiva per validare rigorosamente e sanificare o escludere tutti i caratteri speciali che potrebbero causare l'iniezione di comandi, come &, | e ;.