漏洞描述: 小蚁摄像头应用管理程序存在远程命令执行漏洞,可以通过web界面以root权限执行任意系统命令(无需任何web权限),目前官方的最新版本已经修复此漏洞。 影响范围: firmware version<=1.8.3.4F_201410221315 (注:我们未找到所有的固件版本,这个版本是我们设备的出厂版本,也是我们能找到的存在漏洞的最新版本) 漏洞利用: 通过web应用程序漏洞构造参数,执行系统命令。 查看系统命令当前执行权限,执行结果为系统最高权限。 漏洞危害: 攻击者可以通过该漏洞,无需用户名、口令等认证方式,远程控制小蚁摄像头,浏览视频信息。如果点击黑客恶意构造的链接地址,黑客还可以盗走wifi密码。这严重危害到家庭的隐私及公共安全。同时可以利用小蚁摄像头对路由器进行关联操作,攻击家庭内网其它智能设备。 安全建议: 进入小蚁摄像机应用管理程序,在连接互联网的情况下点击自动升级。等待升级完成后确认为当前最新版本即可。 |