CVE-2019-11001
Reolink Multiple IP Cameras OS Command Injection Vulnerability
Beschreibung
CVE-2019-11001 ist eine schwerwiegende OS-Command-Injection-Schwachstelle in mehreren Reolink IP-Kamera-Modellen, darunter RLC-410W, C1 Pro, C2 Pro, RLC-422W und RLC-511W. Ein authentifizierter Administrator kann ueber die TestEmail-Funktion beliebige Betriebssystembefehle als Root ausfuehren, indem Shell-Metazeichen in das addr1-Feld eingeschleust werden.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.2 (HIGH) bewertet. Die CISA hat CVE-2019-11001 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 8. Januar 2025. Der EPSS-Score von 33.82 % (96.9. Perzentil) weist auf eine erhebliche Ausnutzungswahrscheinlichkeit hin, wobei oeffentlich verfuegbarer Exploit-Code die Bedrohung verstaerkt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| reolink | rlc-410w firmware | <= 1.0.227 |
| reolink | c1 pro firmware | <= 1.0.227 |
| reolink | c2 pro firmware | <= 1.0.227 |
| reolink | rlc-422w firmware | <= 1.0.227 |
| reolink | rlc-511w firmware | <= 1.0.227 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/mcw0/PoC/blob/master/Reolink-IPC-RCE.py(Exploit, Third Party Advisory)
- https://www.vdoo.com/blog/working-with-the-community-%E2%80%93-significant-vulnerabilities-in-reolink-cameras/(Broken Link, Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11001(US Government Resource)
Schwachstellentyp
Fuer CVE-2019-11001 wurde kein spezifischer CWE-Typ offiziell zugewiesen. Die Schwachstelle basiert auf einer OS Command Injection, die typischerweise unter CWE-78 (Improper Neutralization of Special Elements used in an OS Command) faellt. Bei dieser Schwachstellenklasse werden Benutzereingaben ohne ausreichende Bereinigung in Betriebssystembefehle eingebettet. Im Fall der betroffenen Reolink-Kameras wird das addr1-Feld der TestEmail-Funktion nicht auf Shell-Metazeichen geprueft, wodurch eingeschleuste Befehle mit Root-Rechten auf dem Geraet ausgefuehrt werden.
Auswirkungsanalyse
Die Auswirkungen von CVE-2019-11001 sind besonders weitreichend, da fuenf verschiedene Reolink-Kameramodelle betroffen sind. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass trotz der Anforderung hoher Privilegien alle Impact-Metriken maximal betroffen sind. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den vollstaendigen Zugriff auf Videostreams, gespeicherte Aufnahmen, WLAN-Zugangsdaten und Netzwerkkonfigurationen aller betroffenen Kameras. Bei mehreren kompromittierten Kameras kann ein umfassendes Ueberwachungsnetzwerk missbraucht werden. Integritaet (Hoch): Der Angreifer erlangt Root-Zugriff auf das Kamera-Betriebssystem und kann Firmware modifizieren, Backdoors installieren und die Kamera als Ausgangspunkt fuer laterale Bewegungen im Netzwerk nutzen. Verfuegbarkeit (Hoch): Die Kameras koennen vollstaendig deaktiviert oder funktionsunfaehig gemacht werden, was den Sicherheitsueberwachungsbetrieb stoert. Der EPSS-Score von 33.82 % unterstreicht die erhebliche Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2019-11001 weist eine hohe Exploit-Reife auf. Oeffentlich verfuegbarer Exploit-Code existiert als Python-Skript auf GitHub (Reolink-IPC-RCE.py), das die Schwachstelle automatisiert ausnutzt. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 33.82 % (96.9. Perzentil) platziert diese Schwachstelle unter den Top 4 % der am staerksten ausgenutzten Schwachstellen. Die Verfuegbarkeit eines voll funktionsfaehigen Exploit-Tools senkt die Einstiegshuerda fuer Angreifer erheblich, insbesondere da nur Standard-Administratorzugangsdaten benoetigt werden. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Firmware umgehend aktualisieren: Aktualisieren Sie alle betroffenen Reolink-Kameras (RLC-410W, C1 Pro, C2 Pro, RLC-422W, RLC-511W) auf eine Firmware-Version hoeher als 1.0.227. Pruefen Sie die Reolink-Supportseite auf aktuelle Firmware-Updates fuer jedes betroffene Modell.
-
Administrator-Passwoerter aendern: Aendern Sie umgehend die Administrator-Passwoerter aller betroffenen Kameras auf starke, einzigartige Passwoerter. Der oeffentlich verfuegbare Exploit setzt nur Standard-Zugangsdaten voraus; individuelle Passwoerter erhoehen die Huerda fuer Angreifer erheblich.
-
Netzwerkisolierung umsetzen: Platzieren Sie alle IP-Kameras in einem isolierten Netzwerksegment (VLAN), das keinen direkten Zugang zum Internet und nur eingeschraenkten Zugang zum internen Netzwerk hat. Konfigurieren Sie Firewall-Regeln, die den Zugriff auf die Kamera-Verwaltungsoberflaeche nur von autorisierten Management-Stationen erlauben.
-
E-Mail-Funktion pruefen und einschraenken: Wenn die TestEmail-Funktion nicht benoetigt wird, deaktivieren Sie die E-Mail-Benachrichtigungsfunktion der Kameras. Dies eliminiert den spezifischen Angriffsvektor ueber das addr1-Feld.
-
Bestandsaufnahme und Monitoring durchfuehren: Erstellen Sie eine vollstaendige Bestandsaufnahme aller Reolink-Kameras im Netzwerk und deren Firmware-Versionen. Implementieren Sie eine Netzwerkueberwachung fuer anomale ausgehende Verbindungen von IoT-Geraeten.
Technische Details
CVE-2019-11001 betrifft mehrere Reolink IP-Kamera-Modelle mit Firmware bis einschliesslich Version 1.0.227. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist, jedoch hohe Privilegien (PR:H) in Form eines Administrator-Zugangs erfordert.
Die Schwachstelle liegt in der TestEmail-Funktion der Kamera-Firmware. Das addr1-Feld, das eine E-Mail-Adresse fuer den Testversand enthalten sollte, wird ohne Bereinigung in einen Betriebssystembefehl eingebettet. Durch Einschleusen von Shell-Metazeichen wie Semikolons oder Backticks kann ein Angreifer zusaetzliche Befehle anhaengen, die mit Root-Rechten auf dem zugrunde liegenden Linux-Betriebssystem ausgefuehrt werden. Der oeffentlich verfuegbare Proof-of-Concept demonstriert die Ausfuehrung beliebiger Befehle ueber diesen Vektor.
Betroffen sind fuenf Reolink-Modelle: RLC-410W, C1 Pro, C2 Pro, RLC-422W und RLC-511W, jeweils mit Firmware-Versionen bis einschliesslich 1.0.227. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des Geraets mit Root-Rechten widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2019-11001 aktiv ausgenutzt?
Ja, CVE-2019-11001 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Ein voll funktionsfaehiger Exploit ist als Python-Skript auf GitHub oeffentlich verfuegbar. Der EPSS-Score von 33.82 % (96.9. Perzentil) bestaetigt die erhebliche Ausnutzungswahrscheinlichkeit.
Welche Reolink-Kameras sind von CVE-2019-11001 betroffen?
Betroffen sind die Modelle RLC-410W, C1 Pro, C2 Pro, RLC-422W und RLC-511W mit Firmware-Versionen bis einschliesslich 1.0.227. Da andere Reolink-Modelle moeglicherweise aehnlichen Code verwenden, sollten alle Reolink-Kameras auf Updates geprueft werden.
Benoetigt ein Angreifer physischen Zugang fuer CVE-2019-11001?
Nein, der Angriff erfolgt ueber das Netzwerk (AV:N). Es werden jedoch Administrator-Zugangsdaten benoetigt (PR:H). Wenn Standard-Passwoerter nicht geaendert wurden, ist dies jedoch keine wesentliche Huerda fuer Angreifer.
Wie haengt CVE-2019-11001 mit CVE-2021-40407 zusammen?
Beide Schwachstellen betreffen Reolink IP-Kameras und basieren auf OS Command Injection. CVE-2019-11001 nutzt die TestEmail-Funktion als Angriffsvektor, waehrend CVE-2021-40407 die DDNS-Konfiguration ausnutzt. Beide erfordern administrativen Zugang und ermoeglichen die Ausfuehrung beliebiger Befehle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.