关键信息概览 公告ID: QSA-2017-02-22 公告日期: February 22, 2017 漏洞名称: Insecure CrossDomain.XML in D-Link DCS Series Cameras 漏洞描述: - D-Link DCS系列网络摄像头包含一个弱或不安全的CrossDomain.XML文件，允许托管恶意Flash对象的网站访问和/或更改设备的设置。 参考链接: https://web.archive.org/web/20170222172704/http://us.dlink.com/product-category/home-solutions/view/network-cameras/ CVE标识: CVE-2017-7852 厂商回应: - 在2016年，我们在所有相机的CGI上实施了CSRF缓解措施，因此类似的注入不会被允许通过未认证或未验证方式进行。 - 请参考报告底部的跟踪表，其中包括H/W修订版和实施CSRF缓解的固件版本。 实验室设置: - 目标摄像头: DCS-933L，固件版本1.03 - 目标IP地址: 10X.X.X.X - 恶意Flash对象托管站点: http://Maliciousxxxx.com - 摄像头设置发送至: http://MyMaliciousSite.com 易受攻击/测试固件版本: DCS-933L运行固件版本1.03受到影响。该设备的最新固件以及其他设备如DCS-5030L, DCS-5020L, DCS-2530L, DCS-2630L, DCS-930L, DCS-932L, DCS-932LB1等，均包括相同文件，存在弱或不当配置。