Edimax IC-7100 IP Camera OS Command Injection

Falha de OS Command Injection (CWE-78) na câmera IP Edimax IC-7100 que permite execução remota de código através de requisições manipuladas, sem necessidade de autenticação. Está no catálogo KEV da CISA com exploração confirmada e o próprio advisory da CISA sinaliza que existem exploits públicos disponíveis, o que eleva o risco prático muito além do que a descrição seca sugere. O fornecedor não respondeu às tentativas de coordenação da CISA, então não há patch oficial conhecido.

A vulnerabilidade é uma injeção de comandos do sistema operacional (CWE-78): a interface de gerenciamento da câmera não neutraliza corretamente elementos especiais em requisições recebidas antes de passá-los para execução no shell do dispositivo. O advisory da CISA não detalha qual endpoint, parâmetro ou funcionalidade específica carrega o campo vulnerável — apenas confirma que 'requests' especialmente criadas atingem esse ponto de execução, o que é típico de firmwares embarcados que expõem funções administrativas (configuração de rede, streaming, diagnóstico) via CGI/HTTP e concatenam entrada do usuário direto em chamadas de sistema.

O CVSS v4 (9.3) e o v3.1 calculado pela CISA (9.8, vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indicam vetor de rede, sem necessidade de privilégios, sem interação do usuário e complexidade baixa — ou seja, a falha é explorável remotamente sem qualquer conhecimento prévio de credenciais válidas, o que é consistente com o padrão de dispositivos IoT/câmeras IP que expõem interfaces administrativas sem controle de acesso robusto na LAN ou, piores casos, expostas diretamente à internet.

O CWE-78 confirma que o problema é sanitização de entrada insuficiente antes de repasse para um interpretador de comandos do sistema operacional embarcado — não é uma falha de lógica de autenticação isolada, mas sim de tratamento de dados que chegam ao dispositivo.

A CISA afirma que 'All versions' do IC-7100 são afetadas, sem distinção por faixa de firmware, o que sugere que o vetor está presente desde a implementação original da interface vulnerável e nunca foi corrigido em nenhum release.

O vetor é rede (AV:N), sem exigência de autenticação (PR:N) e sem interação do usuário (UI:N), segundo o vetor CVSS oficial — isso significa que qualquer atacante com acesso de rede ao painel de gerenciamento HTTP da câmera pode, em tese, enviar a requisição maliciosa diretamente. O pré-requisito real e mais importante, que a manchete não destaca, é o acesso de rede ao dispositivo: cameras IP desse tipo normalmente ficam em redes internas, mas um número relevante de unidades expostas diretamente à internet (via port-forward, UPnP ou por descuido de configuração) é o cenário onde a exploração remota se torna trivial.

O próprio advisório da CISA marca 'public exploits are available' na seção ATTENTION, e a entrada no catálogo KEV confirma exploração ativa em campo — não é uma vulnerabilidade teórica. Não há detalhamento público, nas fontes disponíveis, do payload ou do endpoint exato usado nos ataques observados; o mecanismo geral é a injeção de comandos em algum parâmetro de requisição que é repassado a uma chamada de sistema no firmware.

O resultado final da exploração é execução de código arbitrário com os privilégios do processo que trata a requisição no dispositivo — na prática, controle total da câmera, possibilitando pivô para a rede interna, uso como bot em botnets IoT, interceptação de vídeo ou exfiltração de dados da rede local.

Não há versão corrigida disponível segundo as fontes consultadas: a CISA declara explicitamente que a Edimax não respondeu às tentativas de coordenação da vulnerabilidade, e o catálogo KEV nota que o produto pode estar em End-of-Life (EoL) ou End-of-Service (EoS). Nesse cenário, a recomendação da própria CISA é discontinuar o uso do produto quando não houver mitigação disponível do fornecedor.

Como controle compensatório, caso a substituição do equipamento não seja imediata: remover qualquer exposição direta à internet (desativar port-forward, UPnP ou qualquer regra de NAT que exponha a interface HTTP de gerenciamento), isolar o dispositivo em uma rede segmentada dedicada a IoT/câmeras separada da rede corporativa, e restringir acesso à interface de administração apenas via VPN ou lista de IPs confiáveis. Essas medidas reduzem a superfície de ataque mas não eliminam o risco, já que qualquer host comprometido na mesma rede segmentada ainda pode explorar a falha.

Não existe mitigação de configuração no próprio firmware documentada pelo fornecedor nas fontes disponíveis — não há flag, patch ou atualização de firmware citada. Contatar o suporte da Edimax é a orientação oficial da CISA, mas sem garantia de resposta, dado o histórico de não cooperação relatado no advisory.

As fontes disponíveis não trazem indicadores de comprometimento específicos (assinaturas, padrões de payload, IPs de origem) associados à exploração ativa desta CVE. Como indício genérico, monitorar logs de acesso HTTP/HTTPS da interface de gerenciamento da câmera por requisições anômalas com metacaracteres de shell (como ';', '|', '&', '`', '$()') em parâmetros de configuração, e monitorar processos/conexões de saída inesperadas originadas do dispositivo (indicativo de shell reverso ou beaconing pós-exploração) são práticas razoáveis, mas não há assinatura confirmada publicada pelo fornecedor ou pela CISA para esta vulnerabilidade específica.