CVE-2023-30146 - Assmann/HooToo ウェブカメラエクスプロイト - 機密データの露出

説明

HooToo および Assmann ブランドの IP カメラに問題が発見されました。ファームウェアは、管理者とユーザーの認証情報をバックアップ内に平文で保存します。バックアップは認証なしで取得・解凍できるため、リモートの攻撃者にネットワークへのアクセスを与えることになります。

脆弱性タイプ

機密データの露出

攻撃タイプ

リモート

影響

ネットワーク侵害の可能性

背景

IoT 市場で販売されている IP カメラの多くは、HiSilicon H35xx SoC [1] をベースにしているようです。これらのデバイスで動作するファームウェアは、IP カメラおよび IoT デバイス市場における大手ブランドである Foscam (Shenzhen Foscam Intelligent Tech Co. Ltd) によって製造されているようです。ここで取り上げるカメラは、HooToo および Assmann ブランドの DIGITUS "Plug & View" として販売されていました。

ユーザーへの注意

この Write-Up の執筆時点で、まったく同じ仕様の 800 台以上の IP カメラがインターネットからアクセス可能であり、ネットワークを危険にさらしています。私が HooToo および Assmann ブランドの IP カメラのみを調査したため、この数は実際にはより多いと考えられます。影響を受けるカメラをお持ちの場合は、それらがインターネットと通信できないようにし、新しいデバイスへのアップグレードを検討してください。

概念実証

注: この Write-Up の公開から 1 か月後にリリース予定の PoC スクリプトがあります。

このエクスプロイトの基本的な概念は、攻撃者がデバイスの Web インターフェースにあるバックアップ取得コマンド [2] の URL に直接アクセスするというものです。これにより、カメラは現在の設定のコピーを圧縮されたバイナリファイルに書き込み、それをダウンロードできるようになります。攻撃者はそのバイナリファイルを解凍し、認証情報が平文で保存されているため読み取ることができます。攻撃者は管理者アカウントにログインできるようになり、遅くともこの時点でネットワークは侵害されたと見なすべきです。

開示のタイムライン

2022年4月6日: shodan での最初の発見とさらなる調査
2022年11月22日: PoC の作成とベンダーへの調査
2023年1月12日: 新しいベンダー「Assmann」への最初の連絡
2023年1月13日: 新しいベンダーからの回答「カメラは EOL です。」
2023年3月7日: ステータス更新のためベンダーに連絡
2023年3月8日: 新しいベンダーからの回答「エンジニアと連絡中。中国のロックダウンのため時間がかかっています。」
2023年3月23日: MITRE に CVE を申請
2023年5月5日: CVE 採番: CVE-2023-30146 [3]
2023年6月8日: ステータス更新のためベンダーに連絡 / 回答なし
2023年8月3日: 公開開示

参考文献とリンク

Shodan.io dork (HooToo/Assmann):

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"

CVE-2023-30146

人気