تعدای از آسیب‌پذیری‌های روز صفر دوربین‌های CCTV ساخت تایوان به نام LILIN با سطح بحرانی اکسپلویت شده است. هکرها با استفاده از بات‌نت های Chalubo، FBot و Moobot حملات DDoS را روی شبکه اجرا نموده اند. فریم ور تجهیزات باید به سرعت به روز رسانی شود.
آسیب‌پذیری: N/A
درجه آسیب‌پذیری:
CVSS v3.1 Base Score of 10.0 (Critical)
سیستم‌های آسیب‌پذیر:
DHD516A, DHD508A, DHD504A, DHD316A, DHD308A, DHD304A, DHD204, DHD204A, DHD208, DHD208A, DHD216, DHD216A
توضیحات:
محققان اعلام کردند که این حمله از ۳۰ آگوست آغاز و در تاریخ ۱۹ ژانویه به شرکت در مورد این نقص اطلاع رسانی شده است. در تاریخ ۱۴ فوریه به‌روز رسانی این نقص امنیتی انتشار یافته است. انتشار عمومی وجود باگ امنیتی توسط تیم آزمایشگاهیNetlab Qihoo 360 انجام شد. فریم‌ور برای این نقص در حال حاضر در دسترس است.
طبق توضیحات Netlab این باگ به سه بخش تقسیم می‌شود و به عنوان نقص هارد-کد اطلاعات احراز هویت، تزریق کد در /z/zbin/dvr_box و نقص خواندن فایل دلخواه /z/zbin/net_html.cgi شناخته می‌شوند.
پارامتر /z/zbin/dvr_box سرویس وب می‌دهد و رابط وب آن در /dvr/cmd و /cn/cmd دارای باگ تزریق کد است. پارامترهای قابل تزریق کد شامل NTPUpdate، FTP و NTP هستند. لیست احراز هویت هارد-کد شده در این سرویس و لاگین به صورت پیش‌فرض به شکل زیر است:
root/icatch99
report/8Jg0SR8K50
admin/1234تحلیل باگ تزریق کد در NTPUpdate
در /z/zbin/dvr_box تابع dvr_serv::do_request() مسوولیت پارس نمودن DVRPOST در فایل پیکربندی بصورت XML است و تابع مربوطه را صدا می‌زند.
تابع dvr_core::NTPUpdate() فیلدهای سرور را به کتابخانه مرتبط ارسال می کند و در نتیجه UtilityBox::UtilityNtp::run() اجرا می‌شود.
این تابع دستورات همزمان سازی زمان ntp را بر اساس فیلدهای دریافتی از سرور اجرا می‌کند.
این پروسه هیچ فیلتری برای بررسی فیلدهای دریافتی از سرور ندارد و باگ تزریق کد را امکان پذیر می‌نماید.
تحلیل باگ تزریق کد در NTP و FTP
فایل پیکربندی تجهیز /zconf/service.xml از طریق اطلاعات احراز هویت هارد-کد شده در تجهیز و خواندن فایل در /z/zbin/net_html.cgi قابل دسترسی است.
با تغییر فیلدهای سرور در FTP و NTP در فایل /zconf/service.xml کد دلخواه می تواند تزریق می‌شود
دسترسی از راه دور توسط /dvr/cmd از طریق پسوورد هارد-کد شده و استفاده از تابع SetConfiguration برای اپلود فایل پیکربندی جدید منجربه ایجاد تغییر در عملکرد تجهیز می‌شود.
تجهیز بصورت مستمر تنظیمات پیکربندی FTP یا NTP را همزمان می سازد که منجربه اجرای تزریق کد می‌گردد.
باتوجه به فعالیت بات‌نت‌ها در شبکه به عنوان مثال Chalubo bots که در آگوست شناخته شد، این بدافزارها برای شناسایی تجهیزات IoT با سطح امنیتی پایین هدف گذاری شده اند. Fbot که به بات‌نت Satori وابسته است با استفاده از DNS مبتنی بر بلاکچین در شبکه پخش می‌شود. بات‌نت جدید Moobot از خانواده Mirai botnet است. تجهیزات LILIN DVR و دوربین‌های IP مورد حمله DDoS با استفاده از این بات‌نت‌ها قرار گرفتند.
نیاز اساسی به‌روز رسانی
به‌روز رسانی فریم‌ور باید توسط مالک دستگاه انجام شود و مستقیما از طریق شرکت سازنده این به روز رسانی صورت نمی‌پذیرد. در حال حاضر جدیدترین نسخه به‌روز رسانی که این آسیب‌پذیری را پوشش می‌دهد ۲.0b60_20200207 است.
منابع:
