CVE-2023-50488

RCE w kamerze Blurams Lumi Security Camera A31C — wykonanie dowolnego kodu

CVSS 9.8v3.1pub. 2024-02-02upd. 2025-06-17

Podatność w oprogramowaniu kamery Blurams Lumi Security Camera (A31C) w wersji v23.0406.435.4120 umożliwia atakującemu zdalne wykonanie dowolnego kodu (RCE). Ze względu na sieciowy wektor ataku bez wymagań uwierzytelnienia, podatność stanowi poważne zagrożenie dla bezpieczeństwa urządzeń.

▸ Pokaż oryginał (EN)

An issue in Blurams Lumi Security Camera (A31C) v23.0406.435.4120 allows attackers to execute arbitrary code.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (code injection) pozwala atakującemu na wstrzyknięcie i wykonanie dowolnego kodu na podatnym urządzeniu. Atak może być przeprowadzony zdalnie przez sieć bez konieczności posiadania uprawnień ani interakcji ze strony użytkownika. Publicznie dostępny kod PoC (proof-of-concept) potwierdza możliwość praktycznego wykorzystania podatności.

Skutki

Atakujący może przejąć pełną kontrolę nad urządzeniem, uzyskując dostęp do strumienia wideo i audio kamery, a także potencjalnie wykorzystując ją jako punkt wejścia do sieci lokalnej. Możliwa jest utrata poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się izolację urządzenia od sieci publicznej oraz ograniczenie dostępu do niego wyłącznie do zaufanych segmentów sieci lokalnej.

Kogo dotyczy

Blurams Lumi Security Camera A31C z oprogramowaniem sprzętowym (firmware) w wersji v23.0406.435.4120

Uwagi

Dla tej podatności dostępny jest publiczny kod PoC opublikowany przez badacza roman-mueller w repozytorium GitHub oraz szczegółowa analiza techniczna na blogu infosec.rm-it.de z dnia 2024-02-01.