Sony IPELA E系列网络摄像头远程命令执行漏洞警告

作者：Knownsec 404 ZoomEye团队

中文版本：https://paper.seebug.org/655/

背景

索尼是视听，视频游戏，通信产品和信息技术的全球领导者。 它是便携式数字产品的首创者，也是世界上最大的电子制造商之一。

2018年7月20日，Sony IPELA E系列网络摄像头暴露于远程命令执行漏洞，该漏洞的详细信息已在线披露。 由于该系列摄像机没有过滤用户输入，而是直接拼接成命令字符串并执行，因此攻击者可以基于此执行任何命令，从而进一步完全接管摄像机。

该漏洞的编号为CVE-2018-3937。 该漏洞不难利用。 根据原始漏洞详细信息中的描述，Sony于2018年9月19日正式发布了该漏洞的修补程序。2018年9月24日，该漏洞包含在Seebug漏洞平台中。 404小组Swift跟进，漏洞再次发生。

漏洞影响

我们使用关键字“ app：SonyNetworkCamerahttpd”在ZoomEye的Cyber​​space搜索引擎上进行搜索，并获得6468 IP历史记录。 利用此漏洞并不难*。

受漏洞影响的国家分布如下，主要分布在美国，越南，德国和其他国家。

漏洞修复

根据原始漏洞详细信息中的描述，Sony已发布了相关补丁来修复该漏洞。 请根据相应的相机型号下载并安装最新固件。

From: https://bytes.com/topic/security/insights/971286-sony-ipela-e-series-webcam-remote-command-execution-vulnerability-warning