[业内新闻动态] [【转载】] 霍尼韦尔关键基础设施闭路电视监控系统存在身份验证绕过漏洞

结论：
该漏洞源于API端点缺乏身份验证，攻击面直接暴露在未授权访问路径中。攻击者可通过调用特定API修改恢复邮箱（Sink点），最终实现账户劫持和视频流控制（Source点未充分校验请求合法性）。需优先隔离设备网络暴露面并强制更新补丁。

L1 攻击面识别

关键组件：

• 受影响型号的API端点（如与“忘记密码”流程相关的端点）
• 设备网络接口（默认端口或HTTP/HTTPS服务）
• 恢复邮箱修改逻辑链路

攻击路径：
未认证的请求直接触发“邮箱修改”API → 绕过身份验证 → 控制账户 → 获取视频流访问权限。

L2 假设与验证

假设条件：

1. 存在可被直接调用的/api/change_recovery_email或类似未受保护的API端点。
2. 请求参数email未强制校验来源身份（如无Token/Bearer验证）。
3. 邮箱修改后未触发二次验证或通知机制。

验证步骤：

1. 端口扫描：使用nmap探测设备开放端口（如nmap -p- <目标IP>），定位HTTP/HTTPS服务端口。
2. API枚举：通过工具（如Burp Suite）或自动化脚本枚举API路径，重点关注与账户、密码重置相关的端点。
3. 未授权调用测试：构造POST请求尝试修改邮箱（示例）：

   POST /api/recovery/update_email HTTP/1.1  
   Host: <设备IP>  
   Content-Type: application/json  
   {  
     "email": "attacker@example.com"  
   }  

   若响应返回200 OK且邮箱被更新，则漏洞存在。

L3 边界/异常场景

需验证的异常输入：

• 越权场景：非关联账户是否可修改他人邮箱。
• 默认配置问题：设备是否默认启用API接口且无白名单限制。
• 日志覆盖：攻击行为是否被记录（如未记录未授权API调用）。

测试案例：

1. 使用未注册账户的IP尝试调用API，观察是否成功。
2. 检查设备日志是否记录异常请求（如grep "update_email" /var/log/device.log）。
3. 测试邮箱格式异常输入（如%00@exploit.com或超长字符串），验证输入过滤机制。

L4 防御反推与修复

防御验证点：

1. 身份验证强制：所有敏感操作（如修改邮箱、密码重置）需绑定Token或双因子认证（2FA）。
2. 输入校验加固：API参数需校验来源IP（白名单）、请求头（如X-Requested-With）及参数格式。
3. 日志与监控：记录所有未授权访问尝试，并设置告警规则（如短时间内多次调用API）。

修复建议：

1. 立即隔离设备：通过防火墙规则限制API端口仅允许内部IP访问（如iptables -A INPUT -p tcp --dport 80 -s <可信IP> -j ACCEPT）。
2. 更新固件：等待霍尼韦尔发布补丁，通过curl -u admin:password http://<设备IP>/update等官方接口部署（需厂商确认）。
3. 最小权限原则：禁用未使用的API端点，启用网络分段（将监控设备与业务网隔离）。

补充说明：
若无法获取设备访问权限，可通过厂商获取API文档进行白盒测试，或通过Shodan搜索暴露于互联网的霍尼韦尔设备进行被动分析。