u3000py

Un client Python per il protocollo di controllo WiFi locale della dashcam Thinkware U3000, ottenuto tramite reverse engineering dall'app Android ufficiale, confermato su hardware reale, non da alcuna specifica pubblica (che non esiste).

Questo progetto ha due scopi: una libreria utilizzabile per estrarre i filmati dalla propria dashcam, e materiale di supporto per una divulgazione CVE completata (vedi Sicurezza di seguito).

Prima di usarlo

• Il protocollo di controllo della telecamera non ha autenticazione né crittografia. Chiunque si trovi sulla stessa rete della telecamera può inviare qualsiasi comando che questa libreria può inviare.
• Ogni comportamento in questa libreria è confermato su hardware reale oppure esplicitamente segnalato come non verificato nella sua docstring. Vedi docs/protocol-reference.md per il dettaglio completo di ciò che è solido e ciò che è una supposizione.
• Alcuni metodi sono protetti da confirm=True perché sono distruttivi (formattazione della scheda SD) o perché possono disconnettere la telecamera dalla rete che stai usando per raggiungerla (set_wifi_mode, connect_to_ap, ecc.). Leggi la docstring prima di passare confirm=True su uno di questi.

Installazione

Nessuna release su PyPI. Installa direttamente da GitHub:

pip install "u3000py[cli] @ git+https://github.com/turretsec/u3000py.git"

Oppure senza la CLI, solo la libreria:

pip install git+https://github.com/turretsec/u3000py.git

Oppure fissa a una release con tag:

pip install git+https://github.com/turretsec/[email protected]

Avvio rapido

from u3000py import ThinkLinkClient, VideoCategory

with ThinkLinkClient("192.168.1.100") as cam:  # your camera's actual IP
    print(cam.get_device_info())
    print(cam.get_system_status())

    files = cam.list_files(VideoCategory.CONTINUOUS)
    latest = files[-1]

    def show_progress(received, total):
        print(f"\r{received / total:.0%}", end="")

    cam.download(latest.path, dest="latest_clip.mp4", progress=show_progress)

Oppure dalla riga di comando, una volta installato con l'extra [cli]:

u3000py --host 192.168.1.100 info device
u3000py --host 192.168.1.100 files download --latest --category cont_rec

--host è obbligatorio a ogni invocazione, sia come flag mostrato sopra sia tramite la variabile d'ambiente U3000PY_HOST se preferisci non ripeterlo.

Cosa può fare

• Stato: info dispositivo, stato del sistema, spazio libero, GPS, credenziali WiFi (sì, la telecamera le restituisce a chiunque le chieda, vedi Sicurezza), telemetria in tempo reale, conteggio hotspot
• File: esplora qualsiasi directory, elenca/categorizza le registrazioni, scarica con avanzamento, genera miniature
• Configurazione telecamera: cambia canale di anteprima, attiva/disattiva registrazione audio, ripristina GPS/ADAS, ripristino di fabbrica, formatta scheda SD
• Gestione WiFi/hotspot: connettiti a reti, gestisci punti di accesso salvati, gestisci l'hotspot della telecamera stessa, cambia modalità WiFi
• Diagnostica: dati eventi di parcheggio, cronologia stati, info modem (questa unità sembra non averne)

Il dettaglio completo metodo per metodo, inclusi quali risultati provengono da test su hardware reale e quali sono supposizioni ragionate in attesa di verifica, si trova nel documento di riferimento del protocollo.

Cosa è deliberatamente assente

• PUT_FILE: confermato consentire scritture arbitrarie di file non autenticate su qualsiasi percorso assoluto nel filesystem della telecamera. Questo è uno dei tre risultati CVE; distribuire un metodo generico di scrittura ovunque in una libreria pubblica fornirebbe uno strumento d'attacco pronto all'uso. Dettagli completi in disclosure-thinkware-u3000.
• Flashing del firmware: non è una scelta di sicurezza, è una scelta del tipo "per favore non brickare la tua dashcam". A questo livello non avviene alcuna verifica della firma o validazione del produttore.
• Un demone keepalive/auto-sync: la connessione WiFi della telecamera sembra richiedere o l'app ufficiale aperta o un heartbeat periodico per rimanere raggiungibile. Funzionalità reale e utile, deliberatamente fuori dallo scope di questo repo, pianificata come progetto separato.
• Qualsiasi cosa che si comporti come una shell remota generica: ogni metodo qui corrisponde a una specifica operazione della telecamera, con nome. Nulla qui è una primitiva parametrizzata "esegui un comando arbitrario".

Test

pip install -e ".[dev]"
pytest -v                                  # unit tests, no camera needed
pytest -m hardware --host 192.168.1.100    # real-camera tests, opt-in only

Uno script di smoke-test autonomo per la CLI stessa si trova in scripts/smoke_test_cli.py. Non fa parte della suite pytest (invoca il comando u3000py realmente installato contro una telecamera reale) per controlli di sanità dopo le modifiche.

Documentazione

• docs/protocol-reference.md: il protocollo completo ottenuto tramite reverse engineering; formato wire, ogni comando confermato, ciò che è ancora non verificato e misteri aperti noti (un paio di cose genuinamente non si comportano come le convenzioni del protocollo stesso farebbero prevedere).

Sicurezza

Questo protocollo non ha autenticazione. Tre risultati sono emersi da questa ricerca, completamente documentati e divulgati in un repository separato: disclosure-thinkware-u3000.

1. Scrittura arbitraria di file non autenticata tramite PUT_FILE (CVE-2026-101053 (VulDB #410915)), confermata scrivendo nella directory /tmp reale della telecamera. Deliberatamente non esposta da questa libreria (vedi Cosa è deliberatamente assente sopra).
2. Lettura arbitraria di file non autenticata tramite LS/GET_FILE (CVE-2026-101054 (VulDB #410916)), senza alcuna restrizione di percorso. Il metodo download() di questa libreria dimostra direttamente la primitiva, ad es. cam.download("/tmp/wpa_supplicant.conf") legge il file di configurazione WiFi attivo del dispositivo.
3. Divulgazione di credenziali WiFi in chiaro tramite GET_STATUS "wifi_info" (CVE-2026-101055 (VulDB #410917)). Il metodo get_wifi_info() di questa libreria dimostra direttamente la primitiva (con la password oscurata per impostazione predefinita in qualsiasi output stampato, vedi il repr() di WifiInfo).

Thinkware è stata notificata il 2026-06-21. La finestra di divulgazione di 30 giorni si è chiusa il 2026-07-21 con solo un riconoscimento di ricezione non tecnico e nessuna conferma di correzione. Tutti e tre i risultati rimangono riproducibili sul firmware di produzione attuale. Una ricerca precedente correlata su un diverso modello Thinkware (F800 Pro) di geo-chen è citata nel repo di divulgazione per contesto.

Licenza

MIT, vedi LICENSE.