Wyze Cam 网络摄像头漏洞允许未经身份验证的远程访问存储在本地存储卡上的视频和图像，并且近三年来一直未修复。

该漏洞未分配 CVE ID，允许远程用户通过侦听端口 80 的网络服务器访问相机中 SD 卡的内容，而无需身份验证。

在 Wyze Cam IoT 上插入 SD 卡后，会在 www 目录中自动创建指向它的符号链接，该目录由网络服务器提供服务，但没有任何访问限制。

SD 卡通常包含视频、图像和音频记录，但也可以包含用户可能已保存在 SD 卡上的各种其他信息。

SD 卡还存储设备的所有日志文件，其中包含 UID（唯一标识号）和 ENR（AES 加密密钥）。他们的披露可能会导致与设备的畅通无阻的远程连接。

该漏洞由 Bitdefender 的研究人员于 2019 年 3 月发现并报告给供应商，同时还有另外两个漏洞，一个身份验证绕过漏洞和一个远程控制执行漏洞。

Wyze 团队通过 2019 年 9 月 24 日的安全更新解决了被跟踪为 CVE-2019-9564 的身份验证绕过漏洞。

分配为 CVE-2019-12266 的远程执行漏洞已于 2020 年 11 月 9 日，即首次发现 21 个月后的应用程序更新中得到修复。

最糟糕的处理是为 SD 卡问题保留的，该问题仅在 2022 年 1 月 29 日修复，当时 Wyze 推送了修复固件更新。

影响和解决方案
考虑到连接互联网的设备通常是根据“设置并忘记”的心态使用的，大多数 Wyze Cam 用户可能仍在运行易受攻击的固件版本。

要为您的相机型号找到值得信赖的固件更新，请查看 Wyze 官方下载门户上的可用版本。

需要注意的是，安全更新仅适用于 2018 年 2 月和 2020 年 10 月发布的 Wyze Cam v2 和 v3，而不适用于 2017 年 8 月发布的 Wyze Cam v1。

旧型号已在 2020 年结束使用，由于 Wyze 在那之前没有解决这个问题，这些设备将永远容易受到利用。

正如 Bitdefender 在其披露报告中警告的那样：

在这个问题上工作了两年多之后，供应商方面的后勤和硬件限制促使该产品的第 1 版停产，这使现有所有者处于一个永久的漏洞窗口中。我们建议用户尽快停止使用此硬件版本。

如果您使用的是积极支持的 Wyze 产品，请确保应用可用的固件更新，在不使用 IoT 时停用它们，并专门为它们设置单独的隔离网络。

Wyze 的网络安全团队告诉zzqidc，v2 和 v3 摄像头都可以完全安全地使用最新的固件更新，而一位发言人分享了以下评论：

在 Wyze，我们非常重视用户对我们的信任，并认真对待所有安全问题。

我们不断评估我们系统的安全性，并采取适当措施保护我们客户的隐私。我们感谢 Bitdefender 就这些漏洞提供的负责任的披露。我们与 Bitdefender 合作并修补了我们支持的产品中的安全问题。这些更新已部署在我们最新的应用程序和固件更新中。