作者：知道創宇404實驗室
時間：2018年7月24日
英文版：https://paper.seebug.org/654/
背景
索尼是世界視聽、電子遊戲、通訊產品和信息技術等領域的先導者，是世界最早便攜式數碼產品的開創者，是世界最大的電子產品製造商之一。
2018 年 07 月 20 日，Sony IPELA E 系列網絡攝像頭被曝出存在遠程命令執行漏洞， 網上已經公開了漏洞細節。該系列攝像頭由於未對用戶的輸入進行過濾，而直接拼接成命令字符串並執行，攻擊者可基於此執行任意命令，進一步完全接管攝像頭，該漏洞被賦予編號 CVE-2018-3937。該漏洞的利用難度很低，通過原漏洞詳情中的說明，2018 年 07 月 19 日，Sony 官方已發布該漏洞的補丁。
2018 年 07 月 24 日，Seebug 漏洞平台收錄了該漏洞。知道創宇404實驗室迅速跟進，復現了該漏洞。
漏洞影響
通過ZoomEye網絡空間搜索引擎對app:”SonyNetworkCamerahttpd” 關鍵字進行搜索，共得到 6,468 條 IP 歷史記錄。從本地驗證的過程來看，該漏洞的利用難度很低。