CVE-2023-30146 - Assmann/HooToo 网络摄像头漏洞 - 敏感数据泄露

描述

在 HooToo 和 Assmann 品牌的 IP 摄像头中发现了一个问题。固件将管理员和用户凭据以明文形式存储在备份中。备份可以在无需身份验证的情况下被检索和解压，从而使远程攻击者能够访问网络。

漏洞类型

敏感数据泄露

攻击类型

远程

影响

可能的网络入侵

背景

市场上销售的许多 IP 摄像头似乎基于海思 H35xx SoC [1]。这些设备上运行的固件似乎由一家名为 Foscam（深圳市福斯康姆智能科技有限公司）的公司制造，该公司是 IP 摄像头和物联网设备市场中的大品牌。我在此涉及的摄像头以 HooToo 和 Assmann 旗下的 DIGITUS "Plug & View" 品牌销售。

给用户的通知

在撰写本文时，超过 800 台具有完全相同规格的 IP 摄像头可以从互联网访问，并使网络面临风险。由于我只检查了 HooToo 和 Assmann 品牌的 IP 摄像头，实际数字必须被认为更高。如果你的网络中有受影响的摄像头，请确保它们无法与互联网通信，并考虑升级到更新的设备。

概念验证

注意：有一份 PoC 脚本计划在本报告发布一个月后发布。

此漏洞的基本概念是，攻击者直接访问设备 Web 界面中备份检索命令[2]的 URL。这会导致摄像头将当前设置的一个副本写入压缩的二进制文件中，然后可以下载该文件。攻击者可以解压该二进制文件并读取凭据，因为它们是以明文存储的。攻击者现在可以登录管理员账户。此时，网络应被视为已被入侵。

披露时间线

• 2022年4月6日：在 Shodan 上初步发现并进一步研究
• 2022年11月22日：编写 PoC 并研究供应商
• 2023年1月12日：首次联系新供应商 "Assmann"
• 2023年1月13日：新供应商回复 "摄像头已停产（EOL）。"
• 2023年3月7日：联系供应商以获取状态更新
• 2023年3月8日：新供应商回复 "正在与工程师联系。由于中国封锁需要时间。"
• 2023年3月23日：向 MITRE 请求 CVE
• 2023年5月5日：分配 CVE：CVE-2023-30146 [3]
• 2023年6月8日：联系供应商获取状态更新 / 无回应
• 2023年8月3日：公开披露

参考资料和链接

• [1] https://openwrt.org/docs/techref/hardware/soc/soc.hisilicon.hi35xx
• [2] http://www.themadhermit.net/wp-content/uploads/2013/03/FI9821W-CGI-Commands.pdf
• [3] https://www.cve.org/CVERecord?id=CVE-2023-30146

Shodan.io 搜索语法（HooToo/Assmann）：

server: thttpd/2.25b 29dec2003 html:"ipCAM" http.component:"jQuery"