Tenda CP3 RTSP服务栈溢出漏洞分析

Tenda CP3 RTSP Service Stack Buffer Overflow via Repeated URL Concatenation in SETUP Request (Track1) 信息 产品供应商: Tenda 供应商网站: https://www.tenda.com.cn/ 报告者: YanKang 受影响产品: CP3 V3.0 受影响固件版本: V31.1.9.91 固件下载链接: https://www.tenda.com.cn/material/show/675687993704517 概述 Tenda CP3 IP摄像头的RTSP服务中存在一个基于栈的缓冲区溢出漏洞。在处理第一个SETUP请求时，RTSP服务应用了两阶段URL验证机制：第一阶段进行格式检查并拒绝格式错误的输入（返回400 Bad Request响应）；第二阶段对通过第一阶段的输入执行URL路由和路径提取。然而，第二阶段的路由逻辑缺乏对URL字段的足够长度验证。通过构造一个由四个连续重复的有效RTSP URL组成的SETUP请求URL，攻击者可以绕过第一阶段格式检查并触发第二阶段URL路由解析中的栈缓冲区溢出，导致RTSP服务进程立即崩溃。 该漏洞不需要任何身份验证凭据——只需访问设备的LAN段即可触发。它可以在完成OPTIONS和DESCRIBE握手后触发，无需建立完整的RTSP会话。收到格式错误的SETUP请求后，RTSP服务进程会立即崩溃，导致TCP端口554停止接受连接。局域网上的所有客户端——包括官方Tenda应用和第三方播放器如VLC——都无法连接到设备。除了拒绝服务外，基于栈的溢出性质还为远程代码执行（RCE）提供了潜在的攻击面。 POC 攻击演示 该漏洞可以通过发送格式错误的RTSP SETUP请求来触发，该请求针对第一个媒体轨道。在完成OPTIONS和DESCRIBE握手后，攻击者发送一个SETUP请求，其URL字段由四个连续重复的有效RTSP URL组成。此输入绕过第一阶段格式验证并触发第二阶段路由解析逻辑中的栈缓冲区溢出。收到格式错误的请求后，RTSP服务进程会立即崩溃，导致TCP端口554停止响应（ConnectionRefusedError），局域网上的所有客户端都无法访问设备。 补充 此漏洞允许未经身份验证的攻击者通过LAN访问触发受影响设备上的拒绝服务（DoS）条件。通过发送一个格式错误的RTSP SETUP请求，其URL字段由四个连续重复的有效RTSP URL组成，在第二阶段路由解析期间触发栈缓冲区溢出，导致RTSP服务进程立即崩溃。 成功的利用会导致摄像头完全不可用，中断所有视频流，并导致设备在官方管理应用程序和第三方客户端中显示为离线。由于基于栈的溢出性质，此问题还表明存在内存损坏风险，超出了已证明的拒绝服务影响。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Tenda CP3 RTSP服务栈溢出漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Tenda CP3 RTSP服务栈溢出漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！