CVE-2023-30353

Atakujący wysyła sieciowo spreparowany dokument XML do urządzenia bez konieczności uwierzytelnienia. Błąd sklasyfikowany jako command injection (CWE-77) wskazuje, że dane zawarte w dokumencie XML są nieprawidłowo przetwarzane przez urządzenie, co prowadzi do wykonania osadzonych w nich poleceń systemowych. Podatność jest dostępna bezpośrednio z sieci, bez żadnych dodatkowych warunków wstępnych.

Atakujący uzyskuje pełną kontrolę nad urządzeniem — może odczytywać i modyfikować jego dane oraz konfigurację, a także wykonywać dowolne polecenia systemowe, co prowadzi do całkowitego przejęcia kamery IP.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację urządzenia od sieci publicznej, umieszczenie go za firewallem oraz ograniczenie dostępu do interfejsu sieciowego wyłącznie do zaufanych hostów.

Kamera IP Tenda CP3 z oprogramowaniem układowym w wersji V11.10.00.2211041355

Szczegółowy opis techniczny podatności został opublikowany przez badaczy z projektu ACES (SECloudUNIMORE) w repozytorium GitHub.