aziot-cctv-cve-2025-50777

CVE-2025-50777: وصول الجذر وكشف بيانات الاعتماد بنص عادي في كاميرا AZIOT الذكية

الملخص

تم تحديد ثغرة في التحكم بالوصول المحلي (CVE-2025-50777) في البرنامج الثابت لكاميرا AZIOT 2MP Full HD Smart Wi-Fi CCTV Home Security Camera (إصدار البرنامج الثابت V1.00.02). تسمح هذه الثغرة للمهاجمين الذين لديهم وصول مادي أو وصول إلى الشبكة المحلية بالحصول على وصول غير مصرح به إلى root shell واستخراج بيانات اعتماد حساسة مخزنة بنص عادي. تم اكتشاف الثغرة أثناء إجراء تقييم أمني للبرنامج الثابت للجهاز.

---

معرّف CVE

CVE-2025-50777 (حالياً محجوز)

---

المنتج المتأثر

• الجهة المصنعة: AZIOT
• المنتج: كاميرا المراقبة المنزلية الذكية 2MP Full HD عبر Wi-Fi
• إصدار البرنامج الثابت: V1.00.02
• التخزين: 128 جيجابايت، قناة واحدة

---

تفاصيل الثغرة

أثناء تحليل البرنامج الثابت واختبار الوصول عبر UART، تم تحديد المشكلات التالية:

• يسمح الجهاز بتجاوز المصادقة على مستوى الإقلاع عبر وحدة تحكم UART باستخدام محمّل إقلاع غير آمن وإعدادات خاطئة في سكربتات التهيئة (init).
• بمجرد الحصول على وصول الجذر، يكشف نظام الملفات عن بيانات اعتماد حساسة بنص عادي، بما في ذلك:
  • اسم شبكة Wi-Fi (SSID) وكلمة المرور
  • بيانات اعتماد مصادقة خدمة ONVIF

لا توجد آليات تشفير أو تحكم في الوصول أو تخزين آمن تحمي هذه البيانات في البرنامج الثابت الحالي.

---

الأثر

---

التوصيات

حتى يتوفر تصحيح من الجهة المصنعة، يُنصح المستخدمون بـ:

• مراقبة أي نشاط غير عادي لـ ONVIF أو RTSP
• تعطيل ONVIF إذا لم يكن قيد الاستخدام
• تشفير جميع البيانات الحساسة في التخزين وأثناء النقل

---

مكتشف الثغرة

Gadige Veeresh
باحث أمني في الأنظمة المدمجة
LinkedIn

---

الجدول الزمني للإفصاح

---

المرجع

• http://aziot.com – موقع الجهة المصنعة

---

ملاحظة قانونية

هذا الإفصاح لأغراض تعليمية وبحثية فقط. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام لهذه المعلومات.