RLC-410W היא מצלמת אבטחה ביתית של Reolink, מהסוג שאנשים תולים בחצר ומחברים לאפליקציה בטלפון. ברשומה מתוארת חולשה בקושחה שלה שמאפשרת להריץ פקודות על המצלמה עצמה, בציון 7.2 מתוך 10. מדצמבר 2024 היא רשומה כמנוצלת בפועל.
מה החולשה?
למצלמה יש ממשק הגדרות רשת, ובתוכו אפשרות שנקראת DDNS. התפקיד שלה פשוט: כתובת ה-IP הביתית מתחלפת מדי פעם, ו-DDNS מעדכן שם קבוע כך שימשיך להצביע על הבית גם אחרי שהכתובת השתנתה. בהגדרה הזאת מזינים שם מתחם.
לפי הרשומה, השם שמוזן בשדה הזה אינו נבדק כראוי. הוא נמסר הלאה למערכת ההפעלה של המצלמה כחלק מפקודה, וכך מי שמזין אותו יכול לצרף לו תווים שהמצלמה תקרא כהוראה נפרדת. מה שנכתב בשדה רץ. לטכניקה הזאת קוראים OS command injection, והרשומה מסמנת את החולשה כ-CWE-78.
הרשומה מדייקת גם איך זה מופעל: בקשת HTTP אחת אל ה-API של המצלמה, זו שמגדירה את ה-DDNS, מספיקה כדי להפעיל את החולשה.
מה שמגביל אותה הוא הצורך להגיע לממשק הזה. הדירוג מסמן הרשאות גבוהות נדרשות, כלומר גישה להגדרות, ומכאן 7.2 ולא יותר. הפגיעה שהוא מסמן, לעומת זאת, גבוהה בכל שלושת הצירים: סודיות, שלמות וזמינות. מצלמה שמריצה את הקוד של התוקף היא מצלמה שלו.
מי מושפע?
הרשומה מונה גרסת קושחה אחת ספציפית: 3.0.0.136_20121102 במצלמת RLC-410W.
בישראל זה דווקא כן נוגע לבתים. מצלמות Reolink נמכרות כאן בחנויות ובאתרי קנייה, והקטגוריה הזאת של מצלמה ביתית מחוברת היא מהנפוצות. מצלמה כזאת היא גם מהמוצרים שמותקנים פעם אחת ונשכחים: היא עובדת, התמונה מגיעה לטלפון, ואין שום דבר שמזכיר לבעל הבית שיש בתוכה תוכנה שצריכה עדכון.
וכדאי להבין מה מצלמה חשופה מאפשרת. היא רואה את הכניסה לבית או את החצר, היא מחוברת לאותה רשת ביתית שבה נמצאים גם המחשב והטלפון, והיא דולקת כל הזמן.
האם מנוצלת בפועל?
כן. ב-18 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 8 בינואר 2025 לרשויות הפדרליות בארצות הברית.
הרשומה פורסמה בינואר 2022, והחולשה מתועדת גם בדוח של צוות המחקר Talos של Cisco. הכניסה לקטלוג הגיעה כמעט שלוש שנים אחרי הפרסום.
מה עושים?
עדכנו את הקושחה של המצלמה. בממשק הניהול של Reolink, באפליקציה או בלקוח למחשב, יש מסך הגדרות עם אזור מערכת שבו מופיעה גרסת הקושחה המותקנת ואפשרות לחפש עדכון. השוו את הגרסה שמופיעה אצלכם ל-3.0.0.136_20121102 שברשומה. אם זו הגרסה שרצה אצלכם, העדכון הוא הצעד הראשון.
הצעד השני חשוב לא פחות והוא נכון גם אחרי העדכון: אל תחשפו את ממשק המצלמה לאינטרנט. אם הגדרתם בנתב העברת פורטים כדי לראות את המצלמה מבחוץ, בטלו אותה והשתמשו באפליקציה של היצרן או בחיבור VPN לבית במקום. חולשה שדורשת גישה לממשק ההגדרות נעצרת כשאין דרך להגיע לממשק מבחוץ.
והצעד שמדלגים עליו בדרך כלל: החליפו את הסיסמה של המצלמה, במיוחד אם היא עדיין זו שהגיעה עם הקופסה. הניצול דורש הרשאות גבוהות בממשק, וסיסמת ברירת מחדל היא הדרך הזולה ביותר להשיג אותן.
הדוח של Talos מתאר את החולשה בפירוט למי שרוצה את הרמה הטכנית.