当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0169373

漏洞标题：某省IPTV服务器漏洞通过控制服务器可逐步控制机顶盒

相关厂商：中国联通

漏洞作者： 路人甲

提交时间：2016-01-12 18:22

修复时间：2016-02-27 11:49

公开时间：2016-02-27 11:49

漏洞类型：命令执行

危害等级：高

自评Rank：20

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-01-12： 细节已通知厂商并且等待厂商处理中
2016-01-15： 厂商已经确认，细节仅向厂商公开
2016-01-25： 细节向核心白帽子及相关领域专家公开
2016-02-04： 细节向普通白帽子公开
2016-02-14： 细节向实习白帽子公开
2016-02-27： 细节向公众公开

简要描述：

详细说明：

北京联通IPTV服务器Jboss反序列化漏洞
漏洞起源URL **.**.**.**:8080/invoker/JMXInvokerServlet
其他信息: (以下公网地址分别对应着内网地址)
IPTV固件下载地址: (负载均衡)
**.**.**.**/softVersion/
**.**.**.**/softVersion/
IPTV开机画面文件:
**.**.**.**/launcher/data/
内网地址和相关如下:

#开机画面ftp服务器配置,上传时对应的目录为/usr/local/isimp/upgradefile/picVersion
epg.ftp.server.ip=**.**.**.**,**.**.**.**,**.**.**.**,**.**.**.**
epg.ftp.user.name=picitms
epg.ftp.password=picitms!@2014
epg.ftp.server.port=21
#上传文件根路径 不配置默认取"jboss.server.home.dir" 调试改为D:/之类
#/usr/local/isimp/jboss-6.0.0.Final/server/default
upload.rootpath=
#版本文件路径
version.rootpath=**.**.**.**/softVersion
version.picpath=**.**.**.**/picVersion


该地址只能在联通家用宽带中访问,其他运营商不能访问.而且不能通过路由器访问,必须通过光猫直接访问,因为跟宽带不是同一个VLAN.

漏洞证明：

对IPTV机顶盒进行抓包,发现以下请求:

3.png


对该地址进行深入分析,发现存在漏洞

1.jpg


ROOT权限,可以读shadow

2.jpg


可执行任意命令,内网IP地址如下:

4.jpg


GETSHELL

shell.png


简单的用FTP登陆系统,并替换开机画面的zip包,可以控制北京联通所有机顶盒的开机画面;---未做实际尝试,影响太大
家用的机顶盒都是安卓系统,支持版本检查与升级,
用于更新开机画面压缩包的FTP服务器和软件升级的FTP服务器被控制以后可以做很多事情.
因此通过控制服务器,可逐步控制机顶盒

修复方案：

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2016-01-15 17:06

厂商回复：

CNVD未复现所述情况，暂未列入处置流程。

最新状态：

暂无

漏洞评价：

评价

  1. 2016-03-01 13:28 | 阿啸 ( 实习白帽子 | Rank:51 漏洞数:15 | 小渣渣努力中。)

    机顶盒如何抓包？求教