aziot-cctv-cve-2025-50777

CVE-2025-50777: Root-Zugriff und Offenlegung von Klartext-Anmeldeinformationen in der AZIOT Smart CCTV

Zusammenfassung

Eine lokale Zugriffskontroll-Schwachstelle (CVE-2025-50777) wurde in der Firmware der AZIOT 2MP Full HD Smart Wi-Fi CCTV Home Security Camera (Firmware-Version V1.00.02) identifiziert. Dieser Fehler ermöglicht es Angreifern mit physischem oder lokalem Netzwerkzugang, einen unautorisierten Root-Shell-Zugriff zu erlangen und sensible Anmeldeinformationen im Klartext zu extrahieren. Die Schwachstelle wurde während einer Sicherheitsbewertung der Firmware des Geräts entdeckt.

---

CVE-ID

CVE-2025-50777 (aktuell RESERVIERT)

---

Betroffenes Produkt

• Hersteller: AZIOT
• Produkt: 2MP Full HD Smart Wi-Fi CCTV Home Security Camera
• Firmware-Version: V1.00.02
• Speicher: 128GB, 1 Kanal

---

Details zur Schwachstelle

Während der Firmware-Analyse und des UART-Zugriffstests wurden die folgenden Probleme identifiziert:

• Das Gerät erlaubt die Umgehung der Authentifizierung auf Boot-Ebene über die UART-Konsole durch unsichere Bootloader- und Init-Script-Fehlkonfigurationen.
• Sobald Root-Zugriff erlangt wurde, zeigt das Dateisystem sensible Anmeldeinformationen im Klartext, einschließlich:
  • Wi-Fi-SSID und -Passwort
  • ONVIF-Dienstauthentifizierungs-Anmeldeinformationen

Es gibt keine Verschlüsselung, Zugriffskontrolle oder sichere Speichermechanismen, die diese Anmeldeinformationen in der aktuellen Firmware schützen.

---

Auswirkung

---

Empfehlungen

Bis ein Hersteller-Patch verfügbar ist, wird Benutzern empfohlen:

• Auf ungewöhnliche ONVIF- oder RTSP-Aktivitäten achten
• ONVIF deaktivieren, falls nicht verwendet
• Alle sensiblen Daten bei Speicherung und Übertragung verschlüsseln

---

Entdecker

Gadige Veeresh
Eingebetteter Sicherheitsforscher
LinkedIn

---

Offenlegungszeitplan

---

Referenz

• http://aziot.com – Hersteller-Website

---

Rechtlicher Hinweis

Diese Offenlegung dient ausschließlich Bildungs- und Forschungszwecken. Der Autor übernimmt keine Verantwortung für Missbrauch dieser Informationen.