פגיעות בטלוויזיות חכמות Supra המאפשרת להציג וידאו פיקטיבי

בטלוויזיות Supra Smart Cloud מזוהה פגיעות (CVE-2019-12477) המאפשרת לך להחליף את התוכנית הנצפית כעת בתוכן של התוקף. כדוגמה, מודגם הפלט של אזהרה פיקטיבית על מצב חירום.

להתקפה, מספיק לשלוח בקשת רשת בעלת מבנה מיוחד שאינה דורשת אימות. בפרט, תוכל לגשת למטפל "/remote/media_control?action=setUri&uri=" על ידי ציון כתובת האתר של קובץ m3u8 עם פרמטרי וידאו, לדוגמה "http://192.168.1.155/remote/media_control?action=setUri&uri= http://attacker .com/fake_broadcast_message.m3u8."

ברוב המקרים, הגישה לכתובת ה-IP של הטלוויזיה מוגבלת לרשת הפנימית, אך מכיוון שהבקשה נשלחת באמצעות HTTP, ניתן להשתמש בשיטות לגישה למשאבים פנימיים כאשר המשתמש פותח דף חיצוני שעוצב במיוחד (לדוגמה, תחת במסווה של בקשת תמונה או שימוש ב- קישור DNS מחדש).

מקור: OpenNet.ru