CVE-2025-63667 — Nachweis einer Sicherheitslücke in Vatilon-basierten IP-Kameras (bereinigt)

Zusammenfassung

Mehrere Vatilon-basierte IP-Kameras (beobachtete Marken: SIMICAM, KEVIEW, ASECAM) geben Session-Id-Token aus, ohne die Richtigkeit der Anmeldeinformationen zu überprüfen. Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, gültige Sitzungen zu erhalten und über offengelegte API-Endpunkte auf administrative Daten wie Klartext-Kontoinformationen zuzugreifen.

Schwachstellentyp: Fehlerhafte Zugriffskontrolle / Unzureichende Authentifizierung
Auswirkung: Remote-Informationsoffenlegung, Privilegienerweiterung
CVSS v3.1: 7,5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Betroffene Geräte (beobachtet)

---

Hinweis zur Nichtveröffentlichung des Proof-of-Concept

Reproduktionsdetails und rohe Beweise (PoC-Skripte, PCAPs und Geräteausgaben) werden aufgrund des hohen Missbrauchsrisikos nicht veröffentlicht. Autorisierte Parteien (Hersteller, CERTs, CNAs) können nach Verifizierung Zugriff auf das vollständige Beweisarchiv anfordern.
Beweisarchiv: Vatilon_vulnerability_evidence_2025.zip
SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04

---

Zusätzliche Beobachtungen

• Die Firmware legt den Telnet-Dienst auf TCP-Port 2360 offen, vermutlich zu Wartungs-/Debugging-Zwecken.
• Das Web-UI bewirbt Digest-Authentifizierung, aber der Endpunkt /cgi-bin/web.cgi?mod=session&cmd=login1 akzeptiert Basic-ähnliche Anmeldeinformationen und gibt Session-Id-Token unabhängig von der Gültigkeit der Anmeldedaten aus.
• Endpunkte zur Auflistung von Konten können Klartext-pwd-Felder zurückgeben.

---

Auswirkung

• Sitzungstoken, die ohne ordnungsgemäße Authentifizierung ausgegeben werden, ermöglichen unbefugten Zugriff auf Geräte-APIs.
• Endpunkte zur Auflistung von Konten, die Klartext-Passwörter zurückgeben, ermöglichen die Übernahme und Konfigurationsänderungen.
• Offengelegte Wartungsdienste vergrößern die Angriffsfläche für eine Fernkompromittierung.

---

Abhilfe / Empfehlungen

1. Validieren Sie Anmeldeinformationen, bevor Sie Sitzungstoken ausstellen; stellen Sie sicher, dass Session-Id nur nach erfolgreicher Authentifizierung vergeben wird.
2. Entfernen Sie die Offenlegung von Klartext-Passwörtern aus API-Antworten; speichern und verifizieren Sie serverseitig nur sichere Hashes.
3. Erzwingen Sie eine ordnungsgemäße Authentifizierung auf allen API-Endpunkten und stellen Sie die Annahme von Basic-ähnlichen Anmeldeinformationen als Fallback ein.
4. Deaktivieren oder beschränken Sie Telnet und andere Wartungsdienste.
5. Wenden Sie Ratenbegrenzung, Kontosperrung und Überwachung auf anomalen API-Zugriff an.
6. Härten Sie die thttpd/Webserver-Konfiguration, um die Offenlegung sensibler Endpunkte zu vermeiden.

---

Beweisarchiv

• Datei: Vatilon_vulnerability_evidence_2025.zip
• SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04
  (Das vollständige Archiv wird hier nicht veröffentlicht. Zugangsanfragen müssen autorisiert sein.)

---

Verweise

• NVD-Eintrag
• CVE.org-Eintrag

---

Zusammenfassung

Mehrere Vatilon-basierte IP-Kameras (beobachtete Marken: SIMICAM, KEVIEW, ASECAM) weisen die Schwachstelle auf, dass Session-Id-Token ohne Überprüfung der Anmeldeinformationen ausgestellt werden. Dieser Fehler ermöglicht es nicht authentifizierten Angreifern, gültige Sitzungen zu erhalten und über offengelegte API-Endpunkte auf Administratorinformationen wie Klartext-Passwörter zuzugreifen.

Schwachstellentyp: Unzureichende Zugriffskontrolle / Unzureichende Authentifizierung
Auswirkung: Remote-Informationsoffenlegung, Privilegienerweiterung
CVSS v3.1: 7,5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Betroffene Geräte (beobachtete Fälle)

---

Hinweis zur Nichtveröffentlichung des Proof-of-Concept (Reproduktionsmaterial)

Reproduktionsverfahren und rohe Beweise (PoC-Skripte, PCAPs, Geräteausgaben usw.) werden aufgrund des Missbrauchsrisikos nicht veröffentlicht. Autorisierte Stellen wie Hersteller, CERT und CNA können nach Verifizierung Zugriff auf das gesamte Beweisarchiv anfordern.
Beweisarchiv: Vatilon_vulnerability_evidence_2025.zip
SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04

---

Zusätzliche Beobachtungen

• Die Firmware legt den Telnet-Dienst auf TCP-Port 2360 offen (vermutlich zu Wartungs-/Debugging-Zwecken).
• Das Web-UI gibt Digest-Authentifizierung vor, aber der Endpunkt /cgi-bin/web.cgi?mod=session&cmd=login1 akzeptiert Basic-ähnliche Anmeldeinformationen und gibt unabhängig von der Gültigkeit der Anmeldedaten ein Session-Id-Token aus.
• Endpunkte, die die Kontenliste zurückgeben, können Felder mit Klartext-pwd enthalten.

---

Auswirkung

• Sitzungstoken, die ohne ordnungsgemäße Authentifizierung ausgestellt werden, ermöglichen unbefugten Zugriff auf Geräte-APIs.
• Die Rückgabe von Klartext-Passwörtern in der Kontenliste ermöglicht die Übernahme von Konten und Konfigurationsänderungen.
• Offengelegte Wartungsdienste erhöhen die Angriffsfläche für eine Fernkompromittierung.

---

Abhilfe-Empfehlungen

1. Machen Sie die Überprüfung der Anmeldeinformationen vor der Ausstellung von Sitzungstoken zur Pflicht.
2. Entfernen Sie Klartext-Passwörter aus API-Antworten; speichern und überprüfen Sie nur sichere Hashes.
3. Erzwingen Sie eine ordnungsgemäße Authentifizierung auf allen API-Endpunkten und stellen Sie die Annahme von Basic-ähnlichen Anmeldeinformationen ein.
4. Deaktivieren oder beschränken Sie den Zugriff auf Telnet und andere Wartungsports.
5. Wenden Sie Ratenbegrenzung, Kontosperrung und Zugriffsüberwachung an.
6. Härten Sie die thttpd-/Webserver-Konfiguration, um die Offenlegung sensibler Endpunkte zu blockieren.

---

Beweisarchiv

• Datei: Vatilon_vulnerability_evidence_2025.zip
• SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04
  (Das ursprüngliche Archiv wird hier nicht veröffentlicht. Zugangsanfragen sind nur für autorisierte Stellen möglich.)

---

Referenzen

• NVD-Eintrag
• CVE.org-Eintrag