关键漏洞信息 标题: Anevia Flamingo XL/XS 3.6.x Default/Hard-coded Credentials 顾问ID: ZSL-2023-5777 类型: Local/Remote 影响: 权限提升, 系统访问, 拒绝服务 风险: 4/5 发布日期: 11.06.2023 概要 Flamingo XL是一款全新的模块化、高密度IPTV前端产品，适用于酒店和企业市场。它在将内容通过IP网络传输给STB、PC或其他IP连接设备之前，可从卫星、电缆、数字地面电信和模拟源捕捉实时电视和广播内容。 描述 该设备使用了一组弱的默认和硬编码的管理凭证，这些凭证在远程密码攻击中很容易被猜出，从而获得系统控制权。 受影响版本 3.6.20, 3.2.9 硬件修订版 1.1, 1.0 SoapLive 2.4.1, 2.0.3 SoapSystem 1.3.1 已在以下环境测试 GNU/Linux 3.14.29 (x86_64) Apache/2.2.22 (Debian) PHP/5.6.0 供应商状态 [13.04.2023] 漏洞被发现 [13.04.2023] 与供应商联系 [10.06.2023] 供应商未回应 [11.06.2023] 发布公共安全公告 PoC anevia_creds.txt 致谢 漏洞由Gjoko Krstic发现 - gjoko@zeroscience.mk 参考 [1] https://packetstormsecurity.com/files/172875/Anevia-Flamingo-XL-XS-3.6.x-Default-Hardcoded-Credentials.html [2] https://exchange.xforce.ibmcloud.com/vulnerabilities/259059 [3] https://cxsecurity.com/issue/WLB-2023060019