בממשק הניהול של מצלמות Reolink יש אפשרות לשלוח הודעת דואר לבדיקה, כדי לראות שההתראות מהמצלמה אכן מגיעות. לפי הרשומה, מי שמגיע לממשק הזה כמנהל יכול להשתמש באותה אפשרות כדי להריץ פקודות על המצלמה עצמה, בהרשאות root. הציון הוא 7.2 מתוך 10, ומדצמבר 2024 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

כדי לשלוח דואר בדיקה המצלמה צריכה כתובת יעד, ולכן יש בממשק שדה שמזינים בו כתובת. מה שקורה מאחורי הקלעים הוא שהמצלמה מרכיבה פקודה למערכת ההפעלה שלה, ומשתלת בתוך הפקודה את מה שהוקלד בשדה.

כאן נכנסת הבעיה. למערכת ההפעלה יש תווים מיוחדים שמשמעותם סוף הפקודה הנוכחית ותחילת פקודה חדשה. כשמה שהוקלד בשדה אינו מנוקה מהתווים האלה, אפשר להקליד כתובת, לסגור אותה, ולהוסיף אחריה הוראה משל עצמנו. המצלמה תריץ את שתיהן. הרשומה מצביעה על השדה addr1 שבפונקציית TestEmail ומסמנת את הסיווג CWE-78.

ושווה לעצור על המילה root. פקודה שרצה בהרשאות האלה אינה מוגבלת לפונקציה שממנה יצאה, והיא יכולה לקרוא ולשנות כל דבר על ההתקן. מהרגע הזה המצלמה אינה מצלמה שיש בה באג, אלא מחשב קטן שמריץ את מה שהתוקף כתב, ויש לו עדשה וחיבור לרשת הביתית.

מה שמגביל את החולשה הוא נקודת הפתיחה. הדירוג מסמן שנדרשות הרשאות גבוהות, כלומר כניסה לממשק הניהול כמנהל, ומשם מגיע הציון 7.2 ולא יותר. בפועל זה אומר שמצלמה שנשארה עם הסיסמה שהגיעה איתה מהקופסה היא מצלמה שהתנאי הזה מתקיים בה.

מי מושפע?

הרשומה מונה חמישה דגמים: RLC-410W, C1 Pro, C2 Pro, RLC-422W ו-RLC-511W, בקושחה עד גרסה 1.0.227 ועד בכלל.

זה ציוד של בתים ושל עסקים קטנים. מצלמות Reolink נמכרות בישראל בחנויות חשמל ובאתרי קניות, ומותקנות בחצרות, בחנויות ובמשרדים קטנים. כלומר בשונה מרוב הדפים בקטגוריה הזאת, המושפע כאן אינו מנהל מערכות אלא אדם.

והנקודה שקל לפספס היא שמצלמה אינה מתעדכנת לבד כמו טלפון. קושחה מתחלפת רק כשמישהו נכנס לאפליקציה או לממשק ומבקש זאת, ולכן מצלמה שתלויה בחצר כמה שנים מריצה בדרך כלל בדיוק את מה שהיה עליה ביום שהותקנה.

האם מנוצלת בפועל?

כן. ב-18 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים משתמשים בהן בפועל, עם מועד תיקון לגופים הפדרליים ב-8 בינואר 2025.

הרשומה פורסמה ב-2019, כך שחלפו יותר מחמש שנים עד הכניסה לקטלוג. בינתיים פורסם קוד ניצול מוכן בגיטהאב, והמחקר שמאחורי הגילוי פורסם בידי חברת VDOO. התקנים מחוברים הם יעד נוח לסריקות אוטומטיות, וחולשה עם קוד ניצול פומבי היא בדיוק מה שסריקה כזאת יודעת להפעיל.

מה עושים?

1. עדכנו את הקושחה. הרשומה מסמנת כחשופה כל קושחה עד 1.0.227 ועד בכלל, ולכן זה המספר להשוות אליו: בדקו באפליקציה או בממשק הניהול איזו גרסה מותקנת, וחפשו עדכון זמין לדגם שלכם.
2. החליפו את סיסמת המנהל של המצלמה. אם היא עדיין הסיסמה שהגיעה מהיצרן, זו הפעולה הדחופה כאן: החולשה דורשת כניסה לממשק כמנהל, וסיסמת ברירת מחדל הופכת את הדרישה הזאת לפורמליות.
3. בדקו אם המצלמה נגישה מהאינטרנט. אם העברתם אליה פורט בנתב כדי לראות אותה מבחוץ, בטלו את ההעברה וצפו דרך האפליקציה של היצרן. מצלמה שנגישה רק מהרשת הביתית מצמצמת את מי שיכול להגיע לממשק שלה בכלל.
4. ואם המצלמה הייתה חשופה לאינטרנט עם סיסמת ברירת מחדל, אל תסתפקו בעדכון ובסיסמה חדשה. אפסו אותה להגדרות היצרן לפני העדכון, מפני שקוד שהושתל עליה שורד החלפת סיסמה.