CVE-2021-40407

A câmera Reolink RLC-410W pega o parâmetro de domínio DDNS de sua API SetDdns e o insere em um comando de SO sem validá-lo, de modo que um atacante que consiga chamar essa API injeta comandos de shell que rodam como root na câmera. A falha é um clássico caminho de parâmetro-não-sanitizado-para-shell no tratamento de configurações de rede; uma única requisição HTTP maliciosa ao dispositivo é o exploit por inteiro, e o sucesso significa controle root total da câmera.

O fator condicionante é que a API SetDdns exige uma sessão autenticada e de alto privilégio — o vetor reflete isso. Portanto, não é uma tomada anônima pela internet; é um atacante que já possui credenciais de administrador (senhas padrão, credenciais reutilizadas ou uma posição prévia) convertendo esse acesso em execução persistente de código como root e, a partir daí, em uma posição na rede em que a câmera se encontra. Câmeras IP são atraentes porque estão sempre ligadas, raramente monitoradas, e servem de excelentes nós de botnet ou pontos de pivô, então o RCE pós-autenticação vale mais do que a ressalva de "precisa de administrador" poderia sugerir.

Nossa ênfase é higiene de credenciais e exposição, já que a pré-condição é acesso de administrador. Sinalizaríamos qualquer RLC-410W no firmware especificado, confirmaríamos que nenhuma está acessível pela internet com credenciais padrão ou fracas e as colocaríamos atrás de segmentação para que a API de gerenciamento não seja amplamente chamável. Onde as atualizações de firmware estiverem atrasadas, o isolamento de rede da VLAN das câmeras é o patch virtual prático — o exploit precisa alcançar a API, então cortar esse alcance é a alavanca.