NUUO-Kameras sind netzwerkgebundene Videoaufzeichnungs- und Überwachungsgeräte, die häufig für die physische Sicherheitsüberwachung in Unternehmens- und Industrieumgebungen eingesetzt werden. Da sie eine kritische visuelle Überwachung gewährleisten, kann eine Kompromittierung schwerwiegende Folgen in der realen Welt haben, da das Sicherheitssystem einer Organisation faktisch blind gemacht wird.

Die Auswirkung dieser Schwachstelle ist eine vollständige Systemkompromittierung durch einen nicht authentifizierten Remote-Angreifer. Dies ermöglicht es einem Angreifer, die volle Kontrolle über das Gerät zu erlangen, ohne dass ein vorheriger Zugriff oder Anmeldedaten erforderlich sind. Das Risiko ist besonders hoch für NUUO-Kameras, die direkt mit dem Internet verbunden sind.

Ein öffentlicher Exploit für diese Schwachstelle wurde veröffentlicht, was die Wahrscheinlichkeit für eine breite und aktive Ausnutzung extrem hoch macht. Angreifer können automatisierte Scans verwenden, um anfällige Geräte in großem Maßstab zu identifizieren und zu kompromittieren. Eine kompromittierte Kamera kann dazu verwendet werden, sensible Videostreams zu exfiltrieren, als Zugangspunkt zum internen Unternehmensnetzwerk zu dienen oder in ein Botnetz für DDoS-Angriffe eingegliedert zu werden.

Produkt	NUUO-Kamera
Datum	05.12.2025 12:27:14

Technische Zusammenfassung

Die Schwachstelle ist ein klassischer Befehlsinjektionsfehler, identifiziert als CWE-78: Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’). Sie ist in der Firmware von NUUO-Kamerageräten vorhanden.

Die Hauptursache ist das Fehlen einer Eingabevalidierung im Skript handle_config.php. Insbesondere akzeptiert die Funktion print_file einen vom Benutzer kontrollierten Parameter namens log. Der Wert dieses Parameters wird direkt an einen Befehl auf Systemebene übergeben, ohne dass er validiert oder von Shell-Metazeichen bereinigt wird.

Die Angriffskette sieht wie folgt aus:

1. Ein nicht authentifizierter Remote-Angreifer sendet eine speziell erstellte HTTP-Anfrage an den Endpunkt /handle_config.php.
2. Der Angreifer bettet beliebige Betriebssystembefehle in den log-Parameter ein, wobei Shell-Metazeichen wie das Semikolon (;) oder Backticks (`) verwendet werden, um Befehle zu verketten.
3. Die Backend-Funktion print_file verkettet den bösartigen log-Parameter in eine Zeichenfolge, die dann vom zugrunde liegenden Betriebssystem ausgeführt wird.

Eine konzeptionelle Darstellung der Logik des anfälligen Codes sieht wie folgt aus:

<?php
// /handle_config.php

function print_file($filename) {
  // Der Wert von $_GET["log"] wird ohne Bereinigung direkt an einen Shell-Befehl übergeben,
  // was eine Befehlsinjektion ermöglicht.
  system("print " . $filename);
}

$log_file = $_GET["log"];
print_file($log_file);
?>

Anfällige Versionen:

• Firmware-Versionen der NUUO-Kamera bis einschließlich 20250203 sind anfällig.

Verfügbarkeit eines Fixes:

• Derzeit ist kein offizieller Patch vom Hersteller verfügbar.

Empfehlungen

• Sofort deaktivieren oder isolieren: Da kein offizieller Patch existiert, besteht die wichtigste Empfehlung darin, die betroffenen NUUO-Kamerageräte sofort außer Betrieb zu nehmen und zu ersetzen. Wenn ein sofortiger Austausch nicht möglich ist, muss das Gerät von allen nicht vertrauenswürdigen Netzwerken, insbesondere vom Internet, getrennt werden.
• Netzwerkseitige Schadensbegrenzung: Wenn das Gerät in einem internen Netzwerk betriebsbereit bleiben muss, beschränken Sie den Zugriff auf seine Webschnittstelle (typischerweise Ports 80/443) auf ein dediziertes und vertrauenswürdiges Management-VLAN. Verwenden Sie eine Web Application Firewall (WAF) oder einen Reverse Proxy, um eine Regel zu erstellen, die explizit alle Anfragen an den Endpunkt /handle_config.php verweigert.
• Erkennung und Überwachung von Kompromittierungen:
  • Analysieren Sie die Webserver-Zugriffsprotokolle auf den Geräten oder auf vorgelagerten Netzwerkgeräten auf Anfragen an /handle_config.php.
  • Untersuchen Sie diese Protokolle auf verdächtige Zeichen oder Befehlsfolgen innerhalb des Parameters log (z. B. ;, |, wget, curl, nc).
  • Überwachen Sie den Netzwerkverkehr auf unerwartete ausgehende Verbindungen, die von den Kamerageräten ausgehen und auf Command-and-Control-Kommunikation (C2) hinweisen könnten.

• Reaktion auf Vorfälle: Wenn festgestellt wird, dass ein Gerät exponiert war und eine Kompromittierung vermutet wird, ist von einer Verletzung auszugehen. Isolieren Sie das Gerät sofort vom Netzwerk, um seitliche Bewegungen (Lateral Movement) zu verhindern, und beginnen Sie mit einer forensischen Analyse. Das Gerät könnte als Sprungbrett für ein tieferes Eindringen in das Unternehmensnetzwerk dienen.
• Defense-in-Depth: Diese Schwachstelle unterstreicht die entscheidende Bedeutung der Netzwerksegmentierung. IoT- und OT-Geräte wie Sicherheitskameras sollten niemals im selben Netzwerksegment wie kritische Server oder Benutzer-Workstations betrieben werden.

[Callforaction-THREAT-Footer]