CVE-2023-30146 - Assmann/HooToo 웹캠 익스플로잇 - 민감한 데이터 노출

설명

HooToo 및 Assmann 브랜드의 IP 카메라에서 문제가 발견되었습니다. 펌웨어는 관리자와 사용자 자격 증명을 백업에 평문으로 저장합니다. 인증 없이 백업을 검색하고 압축 해제할 수 있어 원격 공격자가 네트워크에 접근할 수 있습니다.

취약점 유형

민감한 데이터 노출

공격 유형

원격

영향

네트워크 침해 가능

배경

IoT 시장에서 판매되는 많은 IP 카메라가 HiSilicon H35xx SoC [1]를 기반으로 하는 것으로 보입니다. 이러한 장치에서 실행되는 펌웨어는 IP 카메라 및 IoT 장치 시장의 큰 브랜드인 Foscam(Shenzhen Foscam Intelligent Tech Co. Ltd)이라는 회사에서 제조한 것으로 보입니다. 여기서 다루는 카메라는 HooToo 및 Assmann의 DIGITUS "Plug & View" 브랜드로 판매되었습니다.

사용자를 위한 참고 사항

이 글을 작성하는 시점에서 정확히 이러한 사양을 가진 800개 이상의 IP 카메라가 인터넷에서 접근 가능하여 네트워크를 위험에 빠뜨릴 수 있습니다. 이 숫자는 HooToo 및 Assmann 브랜드 IP 카메라만 확인했기 때문에 더 높을 것으로 간주해야 합니다. 영향을 받는 카메라가 네트워크에 있는 경우 인터넷과 통신할 수 없도록 하고 최신 장치로 업그레이드하는 것을 고려하십시오.

개념 증명

참고: 이 글 게시 한 달 후에 공개될 예정인 PoC 스크립트가 있습니다.

이 익스플로잇의 기본 개념은 공격자가 장치의 웹 인터페이스에서 백업 검색 명령[2]의 URL을 직접 방문하는 것입니다. 이로 인해 카메라는 현재 설정의 복사본을 압축된 바이너리 파일에 기록한 후 다운로드할 수 있습니다. 공격자는 바이너리 파일을 압축 해제하고 자격 증명이 평문으로 저장되어 있기 때문에 읽을 수 있습니다. 이제 공격자는 관리자 계정에 로그인할 수 있습니다. 늦어도 현재 네트워크는 침해된 것으로 간주되어야 합니다.

공개 타임라인

2022년 4월 6일: Shodan에서 초기 발견 및 추가 연구
2022년 11월 22일: PoC 작성 및 공급업체 조사
2023년 1월 12일: 신규 공급업체 "Assmann"과 초기 연락
2023년 1월 13일: 신규 공급업체 응답 "카메라 수명 종료(EOL)."
2023년 3월 7일: 상태 업데이트를 위해 공급업체에 연락
2023년 3월 8일: 신규 공급업체 응답 "엔지니어와 연락 중입니다. 중국의 봉쇄로 인해 시간이 걸립니다."
2023년 3월 23일: MITRE에 CVE 요청
2023년 5월 5일: CVE 할당: CVE-2023-30146 [3]
2023년 6월 8일: 상태 업데이트를 위해 공급업체에 연락 / 응답 없음
2023년 8월 3일: 공개 공개

참고 자료 및 링크

Shodan.io dork (HooToo/Assmann):

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"

CVE-2023-30146

인기