CVE-2025-45619

Problemdetails

Kameramodell PTC310UV2 mit Firmware-Version 0.1.0000.59. Die Schwachstelle befindet sich in der Weboberfläche, die für den Zugriff auf die Kamera verwendet wird. Die Schwachstelle wurde im Rahmen eines Penetrationstests entdeckt, daher wurden bestimmte Informationen in den PoC-Screenshots geschwärzt.

Beschreibung

Diese Offenlegung enthält zwei Schwachstellen, die in der Anmelde-Weboberfläche der AVer-Firmware identifiziert wurden. Es sollte angemerkt werden, dass ich mit Ihren Produkten nicht sehr vertraut bin, was bedeutet, dass einige Begriffe möglicherweise nicht korrekt verwendet werden. CVE-2025-45619 ist die erste von zwei Schwachstellen, die während dieser Untersuchung gefunden wurden. Die zweite Schwachstelle ist hier zu finden: https://github.com/weedl/CVE-2025-45620/tree/main

CVE-2025-45619 betrifft offene Endpunkte auf dem Host. Einer dieser Endpunkte legt die gültigen Anmeldeinformationen für den Administrator-Benutzer auf dem Gerät offen. Genauer gesagt legt der Endpunkt unter “https://[ipaddr]/action?get=acc” in der getesteten Version gültige Anmeldeinformationen offen. Der beigefügte Screenshot zeigt das Problem:

Diese Anmeldeinformationen sollten nicht auf einem offenen Endpunkt gespeichert werden, und darüber hinaus auch nicht im Klartext. Möglicherweise werden auf diesen Endpunkten auch andere sensible Daten gespeichert, diese wurden jedoch im Rahmen dieser Untersuchung nicht bewertet. Ich würde allen, die solche Systeme in ihrer Umgebung haben, empfehlen, die Endpunkte zu überprüfen und in Betracht zu ziehen, den Zugriff darauf einzuschränken.