IP-Kamera-Forschung – Fullhan FH8626V100 (AJL30PG0803)

Sicherheitsforschung an einer Consumer-IP-Kamera auf Basis des Fullhan-FH8626V100-SoC (Modell AJL30PG0803), die zu sechs zugewiesenen CVEs führte, die nicht authentifizierten API-Zugriff, die Offenlegung von Klartext-Anmeldedaten und die vollständige, nicht authentifizierte Kompromittierung des Geräts über OS-Command-Injection abdecken.

Vollständiger Bericht: Breaking Into My Own IP Camera

Geräteübersicht

Diese Firmware-/SoC-Kombination wird in vielen unterschiedlich gebrandeten Consumer-IP-Kameras wiederverwendet, sodass die betroffene Fläche größer ist als eine einzelne Produktliste.

CVE-Zusammenfassung

Exploitation-Kette

1. Frage /PSIA/Security/AAA/users ohne Authentifizierung ab, um Klartext-Admin-Anmeldedaten abzurufen (CVE-2026-51406), oder fahre direkt mit Schritt 2 fort.
2. Sende eine manipulierte <SYSTEM>...</SYSTEM>-Nutzlast an TCP/1300, um einen Befehl auszuführen, der das Root-Kontopasswort zurücksetzt (CVE-2026-51402).
3. Authentifiziere dich am ständig aktiven BusyBox-telnetd (Port 23) mit den neuen Root-Anmeldedaten, um eine vollständige interaktive Root-Shell zu erhalten (CVE-2026-51405).
4. Sammle von der Shell aus /app/userdata/ifcfg.wlan0 für WLAN-Anmeldedaten und/oder pivotiere weiter in das lokale Netzwerk (CVE-2026-51407). Jeder Schritt einzeln erfordert keine Authentifizierung, außer dem abschließenden Telnet-Login, der trivial durch das eigene Passwort-Reset des Angreifers in Schritt 2 erfüllt wird, was bedeutet, dass die vollständige Kette vom Netzwerkzugriff bis zur Root-Shell an keinem Punkt gültige Anmeldedaten erfordert.

Repository-Struktur

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Exploit-DB style advisory + PoC
├── poc/
│   ├── command_payloads.txt         # Fun abuse commands (play audio, reboot camera)
│   ├── data_extraction.py           # Unauthenticated read PoC (users, device info, snapshot)
│   └── full_chain.py                # RCE -> root password reset -> telnet shell chain
├── metasploit/
│   ├── command_payloads.txt         # Fun abuse commands (play audio, reboot camera)
│   ├── data_extraction.py           # Unauthenticated read PoC (users, device info, snapshot)
│   └── full_chain.py                # RCE -> root password reset -> telnet shell chain

Auswirkungen

Ein Angreifer im lokalen Netzwerk oder in einem angrenzenden Segment (oder mit Internet-Exposition, wenn das Gerät per Port-Weiterleitung erreichbar ist) kann vollständigen Root-Zugriff auf das Gerät erlangen, den Live-Kamerafeed ansehen, die WLAN-Anmeldedaten des Opfers exfiltrieren und das kompromittierte Gerät als Pivot-Punkt in das interne Netzwerk des Opfers nutzen – alles ohne gültige Anmeldedaten zu benötigen.

Offenlegungszeitplan

Verantwortungsvolle Nutzung

Diese Forschung wurde an einem Gerät durchgeführt, das dem Autor gehört. Der Code in diesem Repository wird ausschließlich für defensive Forschung, Detection Engineering und autorisierte Tests bereitgestellt. Verwende ihn nicht gegen Geräte, die dir nicht gehören oder für die du keine ausdrückliche Autorisierung zum Testen hast.

Danksagungen

Entdeckt und gemeldet von Amir Aliu

Lizenz

Frei verwendbar für persönliche Forschung, Bildung und autorisierte Sicherheitstests. Kommerzielle Nutzung, Weiterverkauf oder Weiterverbreitung als Teil eines kostenpflichtigen Produkts/Dienstes ist ohne schriftliche Genehmigung nicht gestattet.