启明星辰ADLab:雄迈多个摄像头漏洞警告及修复(附工具)
发布时间 2018-10-19近日,国外安全研究人员公开了雄迈产品的多个安全漏洞(CVE-2018-17915、CVE-2018-17917、CVE-2018-17919),这些漏洞可影响雄迈公司的主要摄像头产品及相关的摄像头模组。通过这些漏洞,恶意攻击者可以通过内外网截获摄像头视频源、安装恶意代码、发起大规模网络攻击等行为。
通过CVE-2018-17915(云平台设备序列号信息泄露)和CVE-2018-17919(内置default账户)的组合,只要设备能访问互联网,攻击者就可以远程对内网设备发起攻击,使得CVE-2018-17919的漏洞影响面进一步扩大。
为保障公共安全,启明星辰ADLab建议:
- 在漏洞未完全修复前,设备使用方应限制问题设备的互联网访问权限。
- 在公开的漏洞中影响最大的是CVE-2018-17919(内置default账户),目前漏洞已经公开,大量的在网设备受到安全威胁;启明星辰ADLab第一时间发布了CVE-2018-17919漏洞修复工具,相关用户请尽快可使用此工具对漏洞进行检测与修复。
二、漏洞影响面
根据2018年3月CNCERT发布的《联网视频监控系统网络安全态势报告》,雄迈以6.25%的占比名列全球第四;同时,雄迈摄像头模组方案被大量厂商采用,仅部分知晓的OEM厂家和智能家居厂家已超过百家;因此除雄迈品牌外,其他品牌的摄像头相关设备也应引起高度重视。根据监测数据,目前受影响的在网设备数量在百万以上。
三、漏洞介绍
雄迈是2016年mirai木马大规模DDoS攻击事件的主要受影响厂家,近期国外安全研究人员新公布的相关漏洞情况如下:
CVE编号 |
问题 |
危害 |
CVE-2018-17915 |
云平台的设备序列号可以通过设备的MAC地址推算出 |
攻击者可以通过雄迈设备的MAC地址推算出设备的云平台账户,并可以获得账户的在线情况。 |
无 |
admin用户存在初始密码 |
在最终用户没有修改admin用户初始密码的情况下,该初始密码可以被攻击者远程利用,完全控制摄像头,安装恶意软件。 |
CVE-2018-17919 |
内置default账户 |
攻击者可利用default账户及其内置的密码,远程窃听视频源。 |
CVE-2018-17917 |
通信通道缺少有效的加密保护 |
攻击者可通过监听摄像头的网络通信,获取摄像头的视频点播地址,从而窃听视频源和用户登陆凭证。 |
无 |
固件的完整性及安全性缺少有效保护机制 |
攻击者可在获得登陆凭证的情况下,构造恶意固件,从而让摄像头执行任意命令。 |
以上漏洞,启明星辰ADLab均在相关型号的最新固件版本上进行了验证。此外,通过对厂家的官网上其他型号的固件进行分析,发现相关漏洞问题在其他安防摄像头的型号上也存在,漏洞影响范围比较广泛。经验证,攻击者可以通过内外网截获摄像头视频源、安装恶意代码、利用漏洞发起大规模网络攻击等行为。
四、漏洞应对策略建议
4.1 CVE-2018-17919漏洞检测与修复
4.1.1 漏洞原理
在摄像头固件的相关函数中存在问题代码,雄迈摄像头在出厂设置时预置了default帐号及默认密码,该账号在客户端无法进行删除,也不会显示在客户端。
4.1.2 漏洞检测与修复
针对此漏洞,启明星辰ADLab第一时间发布了漏洞修复工具,相关用户可使用该工具进行检测与修复。(请在公众号中发送关键词:XM工具,获取修复工具。如使用中遇到问题,请将设备型号和固件版本号告知我们)
1.下载fix_tools.exe。
如:fix_tools.exe 192.168.0.88 admin 123456
[*] vuln(cve-2018-17919) found!”
[*] Do you want to fix it?(y/n):
输入y,即开始修复漏洞。
[*] vuln fix success!!!!!!!!!
注意:当用户对摄像头进行恢复出厂设置时,由于default账户重新被固件写入,用户需要重新执行fix_tools工具修复。
[!] vuln not found
修复工具在以下设备测试通过:
[*] HardWare= RM50H20L_8188EU_S38
SoftWareVersion= V4.02.R12.C4420813.10002.144002.00000
[*] HardWare= 53H13-E_18EV200_8188EU_S38
SoftWareVersion= V4.02.R12.A6420240.10002.140802.00000
为保障公共安全,剩余漏洞的检测方法暂不公开;相关用户可参考如下缓解建议,应对可能发生的攻击事件:
- 通过客户端对admin用户设置复杂密码,防止admin权限被攻击者获得。
- 通过路由器设置限制策略,关闭摄像头的互联网访问权限,只能通过内网访问摄像头。
- 在厂家提供新的漏洞补丁后,及时更新摄像头固件补丁。
参考链接:
【1】联网视频监控系统网络安全态势报告
https://www.ics-cert.org.cn/portal/page/131/be9def54499644afb6ce4b119e5e7d42.html
【2】美国工业互联网安全响应中心公告
https://ics-cert.us-cert.gov/advisories/ICSA-18-282-06