CVE-2025-70962

استخدام بيانات اعتماد مضمّنة (Hard-coded Credentials) في خدمة RTSP لكاميرا IP من نوع ZOSI C519M

الملخص

تأتي كاميرا ZOSI C519M مع زوج بيانات اعتماد RTSP مضمّن (admin:admin) مخزّن كنص عادي في /app/config.xml على نظام ملفات الجهاز، وهو ما تم تأكيده على البرنامج الثابت V4.2.8.832C01450BA. تقبل خدمة RTSP على منفذ TCP/554 تلك البيانات وتكون مسار البث ثابتًا أيضًا (/video1)، وكلاهما قابل للاستخراج من السلاسل النصية في ملف IPC الثنائي. وبالتالي، يمكن لأي مهاجم عن بُعد يتمكن من الوصول إلى TCP/554 المصادقة وسحب بث الفيديو المباشر دون أي تفاعل مسبق مع المالك.

يوفر البائع ميزة "كلمة مرور الحماية" في تطبيق Zosi Smart، لكنها تعيد كتابة بيانات اعتماد حساب user فقط. أما بيانات اعتماد admin فتبقى دون تغيير على admin:admin، ولا يوفر الجهاز أي واجهة يمكن للمالك من خلالها تغييرها أو تعطيلها. تُضمَّن بيانات الاعتماد داخل صورة البرنامج الثابت بدلاً من توليدها عند أول تشغيل، لذا تحمل كل وحدة تعمل بإصدار V4.2.8.832C01450BA نفس قيم admin.

التأثير

كشف عن بُعد غير مصادق عليه لبث الكاميرا المباشر — فقدان كامل للسرية لأي شيء ترصده الكاميرا. لا يتطلب أي تفاعل من المستخدم ولا أي صلاحيات؛ فقط إمكانية الوصول الشبكي إلى TCP/554.

يقتصر التقييم على السرية لأن مسار الوصول المُثبت هو للقراءة فقط: تقدم خدمة RTSP بث الفيديو ولا تكشف عن أي قدرة على التهيئة أو التحكم، لذا لا تسمح بيانات الاعتماد المضمّنة بحد ذاتها بتغيير إعدادات الجهاز أو تعطيل تشغيله. ومن هنا جاء التقييم C:H/I:N/A:N بدلاً من تقييم الاستيلاء الكامل على الجهاز. لم يكن تعداد الخدمات الأخرى على الجهاز شاملًا؛ إذا قُبلت نفس بيانات الاعتماد عبر واجهة أخرى، فإن التأثير الواقعي سيتجاوز التقييم المذكور هنا.

حول ناقل الهجوم. تطلّب استخراج بيانات الاعتماد وصولًا ماديًا لمرة واحدة إلى وحدة واحدة عبر UART. لكن استغلال الثغرة لا يتطلب ذلك. زوج admin:admin نفسه موجود على كل جهاز يعمل بهذا البرنامج الثابت وهو الآن علني، لذا لا يحتاج أي مهاجم لاحق سوى إمكانية الوصول الشبكي إلى TCP/554 على أي كاميرا متأثرة. الخطوة المادية تخص الاكتشاف، الذي حدث بالفعل وليس عائقًا يجب على أي مهاجم تكراره. لذلك يكون ناقل الهجوم شبكيًا (AV:N)، وليس ماديًا.

التحليل

تم الحصول على البرنامج الثابت عبر وحدة تحكم UART المتاحة على لوحة الجهاز؛ وتم استخراج ملف IPC الثنائي و/app/config.xml من الصورة الناتجة. كانت هذه الخطوة المادية لمرة واحدة مطلوبة فقط لاكتشاف بيانات الاعتماد — انظر قسم التأثير لفهم سبب عدم تأثيرها على ناقل هجوم الثغرة نفسها.

1. فحص المنفذ

• كان هناك منفذ مفتوح 554 على ZOSI C519M. المنفذ 554 هو المنفذ الافتراضي لبروتوكول RTSP (بروتوكول البث اللحظي).

2. العثور على إعدادات RTSP

• باستخدام IDA Pro، قمت باستخراج وهندسة عكسية لملف IPC الثنائي لهذا المنتج، حيث تقوم الدالة Rtspserver_Init() بتهيئة خدمة RTSP.

• تحتوي هذه الدالة على مسار مضمّن لملف إعدادات RTSP.

• عنوان URL المضمّن لخدمة بث RTSP قابل للاستخراج أيضًا من السلاسل النصية في ملف IPC الثنائي المستخرج.

• أخيرًا، تُخزَّن بيانات الاعتماد المضمّنة نفسها كنص عادي في /app/config.xml.

3. تدوير بيانات الاعتماد لا يغطي حساب admin

توثّق ZOSI ميزة كلمة مرور الحماية لهذا الطراز، ويتم تعيينها عبر تطبيق Zosi Smart. تعيينها لا يعالج المشكلة: بعد تهيئة كلمة مرور حماية من جانب التطبيق وإعادة قراءة /app/config.xml، تمت إعادة كتابة بيانات اعتماد حساب user فقط. وبقي إدخال admin على admin:admin في البرنامج الثابت V4.2.8.832C01450BA.

وبالتالي، لا توجد آلية متاحة للمالك لتغيير أو تعطيل بيانات اعتماد admin. أي إرشادات توجّه المستخدمين لتعيين كلمة مرور في التطبيق لا تعالج هذه الثغرة.

إثبات المفهوم

ffplay -rtsp_transport tcp rtsp://admin:admin@$IP_ADDRESS:554/video1

يعرض التشغيل الناجح بث الفيديو المباشر للجهاز، دون أي مطالبة ببيانات اعتماد ودون أي موافقة من جانب المالك.

العرض التوضيحي

انقر على الصورة المصغرة لمشاهدة الاستغلال المُسجَّل على YouTube.

الجدول الزمني للإفصاح

التخفيف

لا يتوفر تصحيح من البائع حتى 2026-08-05، ولا يمكن تغيير بيانات اعتماد admin بواسطة مالك الجهاز. حتى يتم إصدار إصلاح:

• احجب حركة المرور الواردة إلى TCP/554 على الكاميرا عند حافة الشبكة.
• ضع الكاميرا على شبكة VLAN مجزأة دون أي مسار وارد من الشبكات غير الموثوقة، وصول إليها عبر VPN بدلاً من إعادة توجيه المنافذ.
• أزل أي قاعدة إعادة توجيه منافذ موجودة لـ TCP/554 وعطّل UPnP على جهاز التوجيه الطرفي حتى لا يتمكن الجهاز من إنشاء واحدة بنفسه.

تعيين كلمة مرور الحماية في تطبيق Zosi Smart ليس إجراءً تخفيفيًا، للسبب المذكور في التحليل §3.

يتطلب الإصلاح الصحيح من البائع توفير بيانات اعتماد admin لكل جهاز على حدة عند أول تشغيل، أو رفض اتصالات RTSP حتى يقوم المالك بتعيين بيانات اعتماد — وليس استبدال قيمة مضمّنة بأخرى.

المراجع

• التقرير الفني وإثبات المفهوم: https://github.com/namaek2/CVE-2025-70962
• فيديو العرض التوضيحي: https://youtu.be/fOgHo1jF8fQ
• سجل CVE: https://www.cve.org/CVERecord?id=CVE-2025-70962
• صفحة المنتج لدى البائع: https://eu.zositech.com/products/c519m-4k-indoor-wifi-pt-camera
• مركز دعم البائع لهذا الطراز: https://supports.zositech.com/hc/en-us/categories/28435104244121-C519M
• تنزيلات البرامج الثابتة من البائع: https://supports.zositech.com/hc/en-us/sections/34475932007577-Firmware-Downloads
• ذات صلة، نفس فئة الثغرة ونفس متجه CVSS: CVE-2025-65857 (كاميرات IP من Xiongmai XM530) — https://www.cve.org/CVERecord?id=CVE-2025-65857

ملاحظة الاختبار

تم إجراء جميع الاختبارات على جهاز يملكه المؤلف، على شبكة معزولة. يُنشر هذا التقرير لتمكين مالكي ومشغلي المنتج المتأثر من تقييم وتخفيف تعرضهم. الوصول إلى كاميرا لا تملكها أو ليس لديك إذن كتابي لاختبارها غير قانوني في معظم الولايات القضائية.