据企业官网介绍，浙江大华技术股份有限公司是全球领先的以视频为核心的智慧物联解决方案提供商和运营服务商。产品包含各种类型的网络摄像机、测温摄像机等热成像产品、网络硬盘录像机等。解决方案涵盖智慧城市、智慧交管、智慧交通、社会治理、智慧应急等。
Nozomi Networks研究人员在大华部分IP摄像机产品Open Network Video Interface Forum（ONVIF，开放式网络视频接口论坛）标准规范WS-UsernameToken认证机制的实现中发现了一个安全漏洞，漏洞CVE编号CVE-2022-30563，CVSS评分7.4分。攻击者利用该漏洞嗅探之前未加密的ONVIF交互、在新的请求中重放该凭证，最终实现入侵网络摄像机的目的。
ONVIF 标准
遵循ONVIF 标准规范的产品可以通过厂商提供的标准化的API来实现无缝访问。这些API允许用户在远程设备上执行各种动作，比如锁门或解锁、执行维护操作等等。
ONVIF请求一般是通过HTTP网络的XML SOAP消息传输的。图1是触发IP摄像机重启的ONVIF请求示例。
图 1 触发IP摄像机重启的ONVIF请求
WS-UsernameToken认证
除了其他的认证机制，ONVIF标准规范还接受WS-UsernameToken。WS-UsernameToken依赖以下数据来认证请求：
用户名：认证用户的用户名
Nonce：随机数，客户单生成的唯一的随机数
Created：请求创建的UTC时间
Password：认证用户的密码
根据标准规范，Password不应该是明文的。设置密码会生成一个密码哈希摘要——PasswordDigest，生成算法为：
Digest = B64ENCODE( SHA1( B64DECODE( Nonce ) + Created + Password ) )
比如，给定一下参数：
Nonce – LKqI6G/AikKCQrN0zqZFlg==
Created – 2010-09-16T07:50:45Z
Password – userpassword
请求中就会包含以下摘要信息：
tuOSpGlFlIXsozq4HFNeeGeFLEI=
该机制可以帮助保护密码和预防重放攻击。
根据ONVIF标准规范，为使得web服务生产商可以有效预防重放攻击，建议采取三种措施：
拒绝所有未使用nonce和时间戳的UsernameToken；
对时间戳的新鲜性进行验证，建议的最小值为5分钟。
在时间戳新鲜性范围内，拒绝UsernameToken中使用过的nonce的UsernameToken。
CVE-2022-30563漏洞细节
研究人员对IPC-HDBW2231E-S-S2摄像机进行了分析，在提取设备指纹信息时，从demo_admin管理员账户发送了GetScope ONVIF请求，如下图所示:
图 2: 来自管理员账户的ONVIF GetScopes请求
发现返回的了发现阶段使用的设备公共范围参数以匹配探测消息。在尝试第二次发送该请求时，设备接受了该请求，并回应了相同的消息。
然后研究人员伪造了一个添加攻击者控制的管理员的CreateUsers请求。使用与之前请求中相同的认证数据，但是是从不同的IP地址，时间是GetScopes请求传输后的大约30小时，请求结果如下：
图 3:构造的ONVIF “CreateUsers”请求，重放了相同的认证数据
从图3中可以看出，设备接受了该请求，并创建了攻击者控制的管理员用户。然后，可以使用新创建的管理员账户以完全权限访问设备，包括查看摄像机实时信息：
图 4: 通过新创建的管理员账户查看摄像机信息
为发起该攻击，攻击者需要能够嗅探到一个未加密的经过WS-UsernameToken 认证的ONVIF请求。
大华IPC-HDBW2231E-S-S2默认并未启用HTTPS服务，所有的ONVIF交互都是通过未加密的 HTTP进行的。研究人员建议用户不要使用默认的WS凭证，并使用HTTPS进行安全连接。
漏洞影响和补丁
该漏洞影响以下产品：
ASI7XXX: v1.000.0000009.0.R.220620之前版本，包括人脸识别一体机
IPC-HDBW2XXX: v2.820.0000000.48.R.220614之前版本网络摄像机
IPC-HX2XXX: v2.820.0000000.48.R.220614之前版本网络摄像机
目前该漏洞已经修复，大华于2022年6月28日发布了安全补丁。
2023 QS世界大学排名发布
Usenix Sec22：Retbleed推测执行攻击影响AMD、Intel CPU
NIST第3轮后量子密码算法进展
UNI token空投钓鱼攻击成功窃取Uniswap 800万美元
2022软科中国大学专业排名出炉
USESec22：Hertzbleed侧信道攻击影响Intel、AMD处理器
IEEE SP22：蓝牙信号可追踪智能手机
Usesec 22：YODA工具检测到4.7万恶意WordPress插件
信息安全技术 区块链技术安全框架（征求意见稿）
IEEE S&P 22: Spook.js
周小川：关于数字货币的几点问题及回应
IEEE S&P 22:以太坊智能合约47个0 day漏洞
CCF-B ACSAC 2021录用论文
Usenix 22：指纹攻击可破解Tor加密流量
在线会议APP静音按钮不静音
周小川：关于数字货币的几点问题及回应
Windows 11新版本中的安全加密新特征
RevEAL：首个针对同态加密的侧信道攻击
Brokenwire攻击电动汽车充电系统
Spring框架被曝9.8分 0 day漏洞，补丁已发布
BITB：一种新型钓鱼攻击技术
原文始发于微信公众号（信息安全最新论文技术交流）：CVE-2022-30563：浙江大华网络摄像机安全漏洞
