מצלמת הרשת IC-7100 של Edimax אינה מנקה את התוכן שמגיע אליה בבקשה לפני שהוא ממשיך להרצה על המערכת שלה. תוקף שמנסח בקשה בנויה במיוחד מריץ קוד משלו על המצלמה, בלי שם משתמש ובלי סיסמה. הציון הוא 9.3 מתוך 10, ו-CISA סימנה את החולשה כמנוצלת בפועל ב-19 במרץ 2025.
מה החולשה?
מכשירים כמו מצלמת רשת מריצים בפנים מערכת הפעלה קטנה, ובחלק מהפעולות הממשק לוקח ערך שהמשתמש שלח ומשלב אותו בפקודה שרצה על המערכת הזאת. כל עוד הערך נבדק ומנוקה, הוא נשאר ערך. כשהבדיקה חסרה, תוקף יכול לשתול בתוכו תווים שסוגרים את הפקודה המקורית ופותחים אחריה פקודה נוספת משלו, והמכשיר יריץ את שתיהן. לטכניקה הזאת קוראים הזרקת פקודות למערכת ההפעלה, וברשומה היא מסומנת CWE-78.
הדירוג כאן מסמן פגיעה גבוהה בשלושה מדדים בבת אחת: סודיות, שלמות וזמינות. במונחים של מצלמה זה אומר את שלושת הדברים שאפשר לעשות לה. אפשר לצפות במה שהיא רואה, אפשר לשנות את מה שהיא מוגדרת לעשות, ואפשר להשבית אותה.
לצד זה, הדירוג מסמן שהתקיפה מגיעה דרך הרשת ושאינה דורשת שום הרשאה מוקדמת ושום פעולה של המשתמש. בפועל המשמעות היא שכל מי שיכול להגיע אל הממשק של המצלמה יכול לנסות, וזה הופך את שאלת החשיפה לשאלה המרכזית כאן.
מי מושפע?
הדגם הוא Edimax IC-7100, על הקושחה שרצה בו.
שימו לב לפרט אחד ברשומה שמשנה את אופן הבדיקה: אין בה טווח גרסאות מושפעות. כלומר אי אפשר להסתכל על מספר קושחה ולהסיק ממנו שאתם מחוץ לתמונה. מי שיש ברשותו את הדגם הזה צריך להתייחס אליו כמושפע עד שיוכח אחרת.
זו מצלמה בקטגוריה שמגיעה לבתים, לחנויות ולמשרדים קטנים, ולא ציוד שמותקן רק בחדרי שרתים. הצירוף הזה, מכשיר צרכני שמחובר לרשת ומנוהל מרחוק, הוא מה שהופך אותו לרלוונטי גם לקורא שאין לו מחלקת IT. הרבה מצלמות כאלה מוגדרות להיות נגישות מבחוץ כדי שאפשר יהיה לצפות בהן מהטלפון, וזו בדיוק החשיפה שהדירוג מדבר עליה.
האם מנוצלת בפועל?
כן. החולשה נכנסה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, ב-19 במרץ 2025, והמועד שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול היה 9 באפריל 2025. הקטלוג הזה מרכז חולשות שנצפה בהן שימוש בתקיפות ממשיות, להבדיל מחולשות שרק תוארו.
CISA גם פרסמה על החולשה התראה ייעודית במסלול שלה לציוד תעשייתי ומשובץ, ICSA-25-063-08.
מה עושים?
1. בררו קודם אם מדובר בדגם הזה. המספר מופיע על גב המצלמה ובממשק הניהול שלה. אם יש לכם מצלמת Edimax אחרת, החולשה הזאת אינה נוגעת לכם.
2. הורידו את המצלמה מחשיפה ישירה לאינטרנט. זה הצעד בעל ההשפעה הגדולה ביותר, כי החולשה מופעלת מהרשת ובלי אימות: מי שלא יכול להגיע אל הממשק לא יכול לנסות. בנתב, בטלו העברת פורטים אל המצלמה וכבו UPnP, שפותח כאלה לבד. אם אתם צריכים לצפות מבחוץ, עשו זאת דרך חיבור VPN אל הרשת הביתית ולא דרך חשיפה של המצלמה עצמה.
3. בדקו את ההגדרות של המצלמה והחליפו את הסיסמה שלה. הדירוג מסמן שתוקף יכול גם לשנות את המכשיר, ולכן שווה לעבור על רשימת המשתמשים, על יעדי ההקלטה ועל הגדרות הגישה מרחוק ולחפש מה שלא אתם קבעתם.
4. עקבו אחרי ההתראה של CISA. ברשומה אין גרסת קושחה שסוגרת את החולשה, ולכן ההתראה הזאת היא המקום שבו תופיע הנחיית היצרן אם וכאשר תתפרסם. עד אז, צמצום החשיפה הוא ההגנה בפועל.