CVE-2025-67158 — Revotech I6032W-FHW

Summary

The Revotech I6032W-FHW IP camera firmware contains an authentication bypass vulnerability in the /cgi-bin/jvsweb.cgi endpoint. The device does not validate the user.name and user.digest fields included in JSON-based API requests, allowing unauthenticated attackers to invoke administrative methods and retrieve sensitive information.

Vulnerability type: Incorrect Access Control / Improper Authentication
Impact: Remote Information Disclosure, Privilege Escalation
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Affected Devices (Observed)

---

Proof-of-Concept Disclosure Notice

Reproduction details and raw evidence (PoC requests, PCAPs, and device responses) are withheld from public disclosure due to the high risk of abuse. Authorized parties (vendors, CERTs, CNAs) may request additional technical details after verification.

---

Additional Observations

• The /cgi-bin/jvsweb.cgi endpoint accepts JSON-formatted commands without enforcing authentication checks.
• Administrative API methods such as account_get_users can be executed using arbitrary user.name and user.digest values.
• Identical administrative responses are returned regardless of credential validity, demonstrating that authentication is not enforced server-side.

---

Impact

• Unauthenticated attackers can access administrative API functionality.
• Sensitive user and account information can be disclosed remotely.
• The vulnerability enables privilege escalation without valid credentials.
• The issue may be leveraged as a building block for further device compromise.

---

Mitigation / Recommendations

1. Enforce strict server-side validation of authentication fields for all API requests.
2. Reject any request with invalid or missing authentication data.
3. Require a verified session before allowing access to administrative API methods.
4. Apply firmware updates provided by the vendor when available.
5. Restrict network access to the device management interface.
6. Monitor and log abnormal or repeated access attempts to /cgi-bin/jvsweb.cgi.

---

References

• NVD Entry
• CVE.org Entry

---

요약

Revotech I6032W-FHW IP 카메라 펌웨어의 /cgi-bin/jvsweb.cgi 엔드포인트에서 인증 검증이 수행되지 않는 취약점이 확인되었습니다.
공격자는 임의의 user.name 및 user.digest 값을 포함한 요청만으로 관리자 API 메서드를 호출할 수 있으며, 이를 통해 민감한 정보에 접근할 수 있습니다.

취약점 유형: 접근 제어 불충분 / 인증 부적절
영향: 원격 정보 노출, 권한 상승
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

영향 대상 장비 (확인된 사례)

---

개념 증명(재현 자료) 비공개 안내

재현 절차 및 원본 증거(PoC 요청, PCAP, 장치 응답 로그 등)는 악용 위험으로 인해 공개하지 않습니다. 벤더, CERT, CNA 등 공인 기관은 검증 후 추가 기술 정보를 요청할 수 있습니다.

---

추가 관찰사항

• /cgi-bin/jvsweb.cgi API는 클라이언트가 전달한 인증 정보를 신뢰하고 서버 측에서 별도의 검증을 수행하지 않습니다.
• 인증 여부와 관계없이 동일한 관리자 수준의 API 응답이 반환됩니다.

---

영향

• 인증되지 않은 상태에서 장치 API에 무단 접근이 가능합니다.
• 관리자 수준의 정보 노출로 인해 추가 공격 가능성이 증가합니다.
• 취약점은 원격에서 재현 가능하며 사용자 상호작용이 필요하지 않습니다.

---

완화 권고

1. 모든 API 요청에 대해 서버 측 인증 검증을 강제하십시오.
2. 관리자 API 호출 전에 세션 및 자격 증명 유효성을 확인하십시오.
3. 관리 인터페이스에 대한 네트워크 접근을 제한하십시오.
4. 벤더에서 제공하는 보안 업데이트를 적용하십시오.
5. 비정상적인 API 접근 패턴을 모니터링하고 기록하십시오.

---

참고

• NVD 등록정보
• CVE.org 등록정보