u3000py

Um cliente Python para o protocolo de controle via WiFi local da dashcam Thinkware U3000, obtido por engenharia reversa a partir do aplicativo Android oficial, confirmado em hardware real, não a partir de qualquer especificação pública (não existe uma).

Este projeto tem dois propósitos: uma biblioteca utilizável para extrair gravações da sua própria dashcam, e material de apoio para uma divulgação de CVE concluída (veja Segurança abaixo).

Antes de usar isto

• O protocolo de controle da câmera não tem autenticação e não tem criptografia. Qualquer pessoa na mesma rede que a câmera pode emitir qualquer comando que esta biblioteca possa.
• Todo comportamento nesta biblioteca é confirmado em hardware real ou explicitamente sinalizado como não verificado em sua docstring. Veja docs/protocol-reference.md para o detalhamento completo do que é sólido e do que é suposição.
• Alguns métodos estão protegidos por confirm=True porque são destrutivos (formatar o cartão SD) ou porque podem desconectar a câmera da rede que você está usando para alcançá-la (set_wifi_mode, connect_to_ap, etc.). Leia a docstring antes de passar confirm=True em qualquer um deles.

Instalação

Sem release no PyPI. Instale diretamente do GitHub:

pip install "u3000py[cli] @ git+https://github.com/turretsec/u3000py.git"

Ou sem a CLI, apenas a biblioteca:

pip install git+https://github.com/turretsec/u3000py.git

Ou fixe em uma release com tag:

pip install git+https://github.com/turretsec/[email protected]

Início rápido

from u3000py import ThinkLinkClient, VideoCategory

with ThinkLinkClient("192.168.1.100") as cam:  # your camera's actual IP
    print(cam.get_device_info())
    print(cam.get_system_status())

    files = cam.list_files(VideoCategory.CONTINUOUS)
    latest = files[-1]

    def show_progress(received, total):
        print(f"\r{received / total:.0%}", end="")

    cam.download(latest.path, dest="latest_clip.mp4", progress=show_progress)

Ou pela linha de comando, após instalar com o extra [cli]:

u3000py --host 192.168.1.100 info device
u3000py --host 192.168.1.100 files download --latest --category cont_rec

--host é obrigatório em toda invocação, seja como a flag mostrada acima ou via a variável de ambiente U3000PY_HOST, caso você prefira não repeti-la.

O que ele pode fazer

• Status: informações do dispositivo, status do sistema, espaço livre, GPS, credenciais WiFi (sim, a câmera devolve isso para qualquer um que pedir, veja Segurança), telemetria ao vivo, contagem de hotspots
• Arquivos: navegar em qualquer diretório, listar/categorizar gravações, baixar com progresso, gerar miniaturas
• Configuração da câmera: alternar canal de visualização, ativar/desativar gravação de áudio, redefinir GPS/ADAS, redefinição de fábrica, formatar cartão SD
• Gerenciamento de WiFi/hotspot: conectar a redes, gerenciar pontos de acesso salvos, gerenciar o próprio hotspot da câmera, alternar modo WiFi
• Diagnósticos: dados de eventos de estacionamento, histórico de estado, informações do modem (esta unidade parece não ter nenhum)

Detalhes completos método a método, incluindo quais resultados vieram de testes em hardware real versus quais são suposições fundamentadas pendentes de verificação, estão no documento de referência do protocolo.

O que deliberadamente não está aqui

• PUT_FILE: confirmado permitir gravação arbitrária de arquivos sem autenticação em qualquer caminho absoluto no sistema de arquivos da câmera. Esta é uma das três descobertas de CVE; distribuir um método genérico de gravação em qualquer lugar em uma biblioteca pública entregaria uma ferramenta de ataque pronta para uso. Detalhes completos em disclosure-thinkware-u3000.
• Gravação de firmware: não é uma decisão de segurança, é uma decisão do tipo "por favor, não transforme sua própria dashcam em tijolo". Nenhuma verificação de assinatura ou validação do fornecedor acontece nesta camada.
• Um daemon de keepalive/auto-sync: a conexão WiFi da câmera parece precisar ou do aplicativo oficial aberto ou de um heartbeat periódico para permanecer acessível. Recurso real e útil, deliberadamente fora do escopo deste repositório, planejado como um projeto separado.
• Qualquer coisa que se comporte como um shell remoto genérico: todo método aqui mapeia para uma operação específica e nomeada da câmera. Nada aqui é uma primitiva parametrizada de "executar um comando arbitrário".

Testes

pip install -e ".[dev]"
pytest -v                                  # unit tests, no camera needed
pytest -m hardware --host 192.168.1.100    # real-camera tests, opt-in only

Um script de smoke-test independente para a própria CLI está em scripts/smoke_test_cli.py. Ele não faz parte da suíte pytest (ele invoca o comando u3000py real instalado contra uma câmera real) para verificações de sanidade após alterações.

Documentação

• docs/protocol-reference.md: o protocolo completo obtido por engenharia reversa; formato de transmissão, cada comando confirmado, o que ainda não foi verificado e mistérios abertos conhecidos (algumas coisas genuinamente não se comportam como as próprias convenções do protocolo preveriam).

Segurança

Este protocolo não tem autenticação. Três descobertas resultaram desta pesquisa, totalmente documentadas e divulgadas em um repositório separado: disclosure-thinkware-u3000.

1. Gravação arbitrária de arquivos sem autenticação via PUT_FILE (CVE-2026-101053 (VulDB #410915)), confirmada gravando no diretório /tmp real da câmera. Deliberadamente não exposta por esta biblioteca (veja O que deliberadamente não está aqui acima).
2. Leitura arbitrária de arquivos sem autenticação via LS/GET_FILE (CVE-2026-101054 (VulDB #410916)), sem nenhuma restrição de caminho. O método download() desta biblioteca demonstra a primitiva diretamente, por exemplo cam.download("/tmp/wpa_supplicant.conf") lê o arquivo de configuração WiFi ativo do dispositivo.
3. Divulgação de credenciais WiFi em texto claro via GET_STATUS "wifi_info" (CVE-2026-101055 (VulDB #410917)). O método get_wifi_info() desta biblioteca demonstra a primitiva diretamente (com a senha ocultada por padrão em qualquer saída impressa, veja o repr() de WifiInfo).

A Thinkware foi notificada em 2026-06-21. A janela de divulgação de 30 dias encerrou em 2026-07-21 com apenas uma confirmação de recebimento não técnica e nenhuma confirmação de correção. Todas as três descobertas permanecem reproduzíveis no firmware de produção atual. Pesquisa anterior relacionada em um modelo diferente da Thinkware (F800 Pro) por geo-chen é referenciada no repositório de divulgação para contexto.

Licença

MIT, veja LICENSE.