CVE-2021-40407
Reolink RLC-410W IP Camera OS Command Injection Vulnerability
Beschreibung
CVE-2021-40407 ist eine schwerwiegende OS-Command-Injection-Schwachstelle in der Netzwerkkonfiguration der Reolink RLC-410W IP-Kamera. Ein authentifizierter Angreifer mit administrativen Rechten kann ueber die SetDdns-API-Funktion beliebige Betriebssystembefehle einschleusen und auf dem Geraet ausfuehren, da der domain-Parameter nicht ausreichend validiert wird.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 7.2 (HIGH) bewertet. Die CISA hat CVE-2021-40407 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 8. Januar 2025. Der EPSS-Score von 32.58 % (96.8. Perzentil) weist auf eine erhebliche Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| reolink | rlc-410w firmware | 3.0.0.136_20121102 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://talosintelligence.com/vulnerability_reports/TALOS-2021-1424(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40407(US Government Resource)
Schwachstellentyp
Fuer CVE-2021-40407 wurde kein spezifischer CWE-Typ offiziell zugewiesen. Die Schwachstelle basiert auf einer OS Command Injection, die typischerweise unter CWE-78 (Improper Neutralization of Special Elements used in an OS Command) faellt. Bei dieser Schwachstellenklasse konstruiert die Anwendung Betriebssystembefehle unter Verwendung extern beeinflussbarer Eingaben, ohne Sonderzeichen wie Semikolons, Pipes oder Backticks zu neutralisieren. Im Fall der Reolink RLC-410W wird der domain-Parameter der SetDdns-API direkt in Shell-Befehle eingebettet, wodurch ein Angreifer zusaetzliche Befehle einschleusen kann.
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-40407 betreffen die vollstaendige Kompromittierung der betroffenen IP-Kamera. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass trotz der Anforderung hoher Privilegien (PR:H) ein umfassendes Schadenspotenzial besteht. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den Zugriff auf Videostreams, gespeicherte Aufnahmen, Netzwerkkonfigurationen und WLAN-Zugangsdaten der Kamera. Integritaet (Hoch): Der Angreifer kann beliebige Befehle auf dem Geraet ausfuehren, Firmware modifizieren, Backdoors installieren und die Kamera als Sprungbrett fuer Angriffe auf das interne Netzwerk nutzen. Verfuegbarkeit (Hoch): Die Kameraueberwachung kann vollstaendig deaktiviert oder manipuliert werden, einschliesslich der Moeglichkeit, das Geraet funktionsunfaehig zu machen. Die Anforderung administrativer Privilegien (PR:H) wird durch die Tatsache relativiert, dass viele IoT-Geraete Standard-Zugangsdaten verwenden. Der EPSS-Score von 32.58 % unterstreicht die erhebliche Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2021-40407 weist eine hohe Exploit-Reife auf. Oeffentlich verfuegbarer Exploit-Code und eine detaillierte technische Analyse sind bei Talos Intelligence (TALOS-2021-1424) dokumentiert. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 32.58 % (96.8. Perzentil) platziert diese Schwachstelle unter den Top 4 % der am staerksten ausgenutzten Schwachstellen. Die niedrige Angriffskomplexitaet (AC:L) und die Verfuegbarkeit detaillierter Exploit-Informationen machen die Ausnutzung fuer Angreifer mit administrativem Zugang zur Kamera trivial. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Firmware aktualisieren: Pruefen Sie, ob eine aktualisierte Firmware-Version fuer die Reolink RLC-410W verfuegbar ist, die die Schwachstelle behebt. Besuchen Sie die Reolink-Supportseite fuer die neueste Firmware-Version. Wenn kein Patch verfuegbar ist, erwegen Sie den Austausch des Geraets.
-
Standard-Zugangsdaten aendern: Aendern Sie umgehend das Administrator-Passwort der Kamera auf ein starkes, einzigartiges Passwort. Viele IoT-Angriffe nutzen Standard-Zugangsdaten, um die fuer diese Schwachstelle erforderlichen administrativen Rechte zu erlangen.
-
Netzwerkzugriff einschraenken: Isolieren Sie die IP-Kamera in einem separaten Netzwerksegment (VLAN) und beschraenken Sie den Zugriff auf die Kamera-Verwaltungsoberflaeche auf autorisierte IP-Adressen. Deaktivieren Sie den direkten Internetzugriff auf die Kamera.
-
DDNS-Funktion deaktivieren: Deaktivieren Sie die DDNS-Funktion der Kamera, wenn sie nicht benoetigt wird, da der Angriffsvektor ueber die SetDdns-API erfolgt. Dies eliminiert den spezifischen Angriffsvektor dieser Schwachstelle.
-
IoT-Ueberwachung implementieren: Setzen Sie eine Netzwerkueberwachungsloesung ein, die den Datenverkehr von IoT-Geraeten analysiert und auf anomale Verbindungen oder Befehlsausfuehrungen hinweist. Pruefen Sie regelmaessig die Protokolle der Kamera auf verdaechtige Aktivitaeten.
Technische Details
CVE-2021-40407 betrifft die Reolink RLC-410W IP-Kamera mit Firmware-Version v3.0.0.136_20121102. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) durchfuehrbar ist, jedoch hohe Privilegien (PR:H) in Form eines Administrator-Zugangs erfordert.
Die Schwachstelle befindet sich in der Verarbeitung der Netzwerkeinstellungen, spezifisch in der SetDdns-API-Funktion. Der domain-Parameter wird je nach DDNS-Typ an unterschiedlichen Stellen im Code verwendet. An beiden Stellen wird der Wert der Variable ddns->domain ohne ausreichende Validierung oder Bereinigung direkt in Betriebssystembefehle eingebettet. Ein Angreifer kann Shell-Metazeichen wie Semikolons oder Backticks in den domain-Parameter einschleusen, wodurch zusaetzliche Befehle auf dem zugrunde liegenden Linux-Betriebssystem ausgefuehrt werden.
Da IP-Kameras typischerweise mit Root-Rechten laufen, werden die eingeschleusten Befehle mit vollen Systemrechten ausgefuehrt. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des Geraets widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2021-40407 aktiv ausgenutzt?
Ja, CVE-2021-40407 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Talos Intelligence hat eine detaillierte Analyse und Exploit-Informationen veroeffentlicht. Der EPSS-Score von 32.58 % (96.8. Perzentil) bestaetigt die erhebliche Ausnutzungswahrscheinlichkeit.
Benoetigt ein Angreifer Zugangsdaten fuer CVE-2021-40407?
Ja, die Schwachstelle erfordert administrativen Zugang zur Kamera (PR:H). Allerdings verwenden viele Reolink-Kameras Standard-Zugangsdaten, die in der Dokumentation oeffentlich verfuegbar sind. Wenn diese nicht geaendert wurden, kann ein Angreifer sie leicht ausnutzen.
Welche Geraete sind von CVE-2021-40407 betroffen?
Offiziell betroffen ist die Reolink RLC-410W mit Firmware v3.0.0.136_20121102. Da andere Reolink-Modelle moeglicherweise aehnlichen Code verwenden, sollten alle Reolink-IP-Kameras auf Firmware-Updates geprueft werden.
Wie kann ich feststellen, ob meine Kamera kompromittiert wurde?
Pruefen Sie die Zugriffsprotokolle der Kamera auf ungewoehnliche DDNS-Konfigurationsaenderungen. Ueberwachen Sie den Netzwerkverkehr der Kamera auf anomale ausgehende Verbindungen. Bei Verdacht auf Kompromittierung sollte die Firmware vollstaendig neu installiert und alle Zugangsdaten geaendert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.