CVE-2020-25078

Суть уязвимости

Уязвимость CVE-2020-25078 затрагивает IP-камеры D-Link моделей DCS-2530L и DCS-2670L. Она позволяет удаленному неаутентифицированному злоумышленнику получить пароль администратора в открытом виде (как правило, путем отправки прямого HTTP-запроса к конфигурационному файлу устройства, например, /config/getuser?index=0). Имея пароль администратора, атакующий получает полный контроль над камерой: может просматривать видеопоток, изменять системные настройки, отключать устройство или использовать его в качестве плацдарма для развития атаки на внутреннюю сеть (Lateral Movement) и участия в DDoS-ботнетах (например, Mirai). Главная проблема заключается в том, что данные модели камер перешли в статус End-of-Life (EoL) и End-of-Service (EoS). Это означает, что производитель прекратил их поддержку и не будет выпускать исправления безопасности.

Как исправить

Поскольку устройства находятся в статусе EoL/EoS, официального патча для закрытия этой уязвимости не существует. Смена пароля также не является решением, так как уязвимость позволяет злоумышленнику прочитать любой новый пароль. Единственным архитектурно верным решением является полный вывод уязвимого оборудования из эксплуатации. 1. Проведите инвентаризацию сети для выявления всех активных камер D-Link DCS-2530L и DCS-2670L. 2. Физически отключите выявленные устройства от корпоративной сети и электропитания. 3. Замените устаревшее оборудование на современные модели IP-камер от вендоров, которые обеспечивают активную поддержку и регулярный выпуск обновлений безопасности. 4. Удалите конфигурации, учетные данные и IP-адреса старых камер из ваших систем управления видеонаблюдением (NVR/VMS).

Временные меры

Если немедленная замена оборудования невозможна по бизнес-причинам, необходимо применить жесткие компенсирующие меры контроля для минимизации поверхности атаки. 1. Переместите все уязвимые камеры в строго изолированный VLAN (Camera Network). 2. Настройте списки контроля доступа (ACL) на коммутаторах и межсетевых экранах так, чтобы запретить маршрутизацию из VLAN с камерами в другие корпоративные подсети. 3. Разрешите доступ к IP-адресам камер исключительно для выделенного сервера видеонаблюдения (NVR) и только по необходимым портам (например, RTSP или HTTP/HTTPS). 4. Полностью заблокируйте камерам доступ в Интернет (как входящий, так и исходящий трафик), чтобы предотвратить утечку данных и подключение к командным серверам (C2) ботнетов. 5. Убедитесь, что на пограничном маршрутизаторе отключен протокол UPnP и отсутствуют правила проброса портов (Port Forwarding), смотрящие на IP-адреса этих камер.

Для поиска потенциально уязвимых камер в вашей подсети используйте сканирование Nmap:

nmap -p 80,443 --script http-title -sV 192.168.1.0/24

Пример правила iptables для блокировки выхода камеры (например, с IP 192.168.1.100) в Интернет через внешний интерфейс (eth0):

iptables -I FORWARD -s 192.168.1.100 -o eth0 -j DROP
iptables -I FORWARD -i eth0 -d 192.168.1.100 -j DROP