l1-0/cve-2023-30146Algumas câmeras IP fabricadas pela Assmann vazam a senha de administrador em seu backup.
Foi descoberto um problema em câmeras IP das marcas HooToo e Assmann. O firmware armazena as credenciais de administrador e de usuário no backup em texto simples. O backup pode ser recuperado e descompactado sem autenticação, dando a um atacante remoto acesso à rede.
Exposição de Dados Sensíveis
Remoto
Possível comprometimento da rede
Muitas das câmeras IP vendidas no mercado de IoT parecem ser baseadas no SoC HiSilicon H35xx [1]. O firmware executado nesses dispositivos parece ser fabricado por uma empresa chamada Foscam (Shenzhen Foscam Intelligent Tech Co. Ltd), que é uma grande marca no mercado de câmeras IP e dispositivos IoT. As câmeras que abordo aqui foram vendidas sob as marcas HooToo e DIGITUS "Plug & View" da Assmann.
No momento em que escrevo este Write-Up, mais de 800 câmeras IP com exatamente essas especificações podem ser acessadas pela internet e colocar redes em risco. Esse número deve ser considerado maior, pois verifiquei apenas câmeras IP das marcas HooToo e Assmann. Se você tiver uma das câmeras afetadas em sua rede, certifique-se de que elas não possam se comunicar com a internet e considere atualizá-las para um dispositivo mais novo.
Nota: Há um script PoC que está programado para ser lançado um mês após a publicação deste write-up.
O conceito básico deste exploit é que um atacante visita a URL do comando de recuperação de backup[2] diretamente na interface web do dispositivo. Isso faz com que a câmera escreva uma cópia das configurações atuais em um arquivo binário compactado que pode então ser baixado. O arquivo binário pode ser descompactado pelo atacante e as credenciais podem ser lidas, pois estão armazenadas em texto simples. O atacante pode agora fazer login na conta de administrador. No mínimo, a rede deve ser considerada comprometida agora.
Dork do Shodan.io (HooToo/Assmann):
server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"
