Conceptronic IPカメラ（0.61.Xウェブファームウェア）における複数の脆弱性

Conceptronic IPカメラにおいてCSRFおよびサービス妨害（DoS）の脆弱性が発見されました。

0. はじめに

Conceptronicカメラは、音声と映像を記録し、ネットワーク経由でストリーミング配信することができます。現在、この種のIPカメラは家庭用・業務用の両方で主に監視やセキュリティ目的で使用されています。2つの異なるソフトウェアファームウェアで脆弱性が発見され、現在市場に出回っているすべてのファームウェアに存在する可能性があります（ベンダーによる未確認）。1つ目の脆弱性はカメラが記録する音声・映像・音声のプライバシーと完全性に影響を及ぼし、2つ目はカメラが記録する映像と音声の可用性に影響し、物理的なセキュリティ上の問題を引き起こします。攻撃者はIPアドレスを知るだけで、リモートからこれらのカメラをダウンさせることが可能です。

テスト済みモデル:

1. users.cgi におけるクロスサイトリクエストフォージェリ（CSRF）

すべてのリクエストはCSRFトークンやその他のCSRF対策が欠如しているため、クロスサイトリクエストフォージェリに対して脆弱です。特に影響を受けるGETリクエストは以下の通りです。

/hy-cgi/user.cgi?cmd=edituser&at_username=admin&at_newpassword=new_password&at_newrolename=admin&at_userid=10001

これにより、古いパスワードを提供することなく管理者IPを変更できます。攻撃者は、被害者にこのURLへのリクエストを強制するページを訪問させることで、この脆弱性を悪用できます。

/hy-cgi/user.cgi?cmd=adduser&at_username=admin2&at_password=admin2&at_rolename=admin

新しい管理者ユーザーを作成できます。

また、特別な状況下では、攻撃者は以下の脆弱性を悪用して

/hy-cgi/user.cgi?cmd=checkuserinfo

被害者の現在のユーザーパスワードを平文で表示させることができます。

認証情報を入手すると、攻撃者はカメラの映像と音声ストリーミングにアクセスできることを意味します。

2. 認証不要のサービス妨害（DoS）

以下のURLへの大量のボディを含むPOSTリクエストが

/hy-cgi/device.cgi?cmd=searchlandevice

IPカメラのクラッシュを引き起こし、システムが完全にフリーズしてアクセス不能になります。

実際、どのPOSTリクエストも未知のミドルウェアによって処理され、これがクラッシュの原因となっています。

カメラがクラッシュすると、即座に映像と音声のストリーミング送信・記録が停止します。

3. エクスプロイト

本リポジトリでは、これらの脆弱性に対する2つのエクスプロイトを提供しています。テスト目的のみに使用してください。

4. 研究者

Gonzalo Garcia Leon