Investigación de Cámara IP - Fullhan FH8626V100 (AJL30PG0803)

Investigación de seguridad sobre una cámara IP de consumo construida sobre el SoC Fullhan FH8626V100 (modelo AJL30PG0803), que resultó en seis CVEs asignados que cubren acceso no autenticado a la API, divulgación de credenciales en texto plano y compromiso total no autenticado del dispositivo mediante inyección de comandos del sistema operativo.

Informe completo: Entrando en Mi Propia Cámara IP

Descripción General del Dispositivo

Esta combinación de firmware/SoC se reutiliza en muchas cámaras IP de consumo de diferentes marcas, por lo que la superficie afectada es más amplia que un único listado de producto.

Resumen de CVEs

Cadena de Explotación

1. Consultar /PSIA/Security/AAA/users sin autenticación para recuperar las credenciales de administrador en texto plano (CVE-2026-51406), o saltar directamente al paso 2.
2. Enviar un payload <SYSTEM>...</SYSTEM> manipulado a TCP/1300 para ejecutar un comando que restablece la contraseña de la cuenta root (CVE-2026-51402).
3. Autenticarse en el telnetd de BusyBox siempre activo (puerto 23) con las nuevas credenciales root para obtener un shell root interactivo completo (CVE-2026-51405).
4. Desde el shell, extraer /app/userdata/ifcfg.wlan0 para obtener las credenciales Wi-Fi y/o pivotar más profundamente en la red local (CVE-2026-51407). Cada paso individualmente no requiere autenticación excepto el inicio de sesión Telnet final, que se satisface trivialmente con el restablecimiento de contraseña del propio atacante en el paso 2, lo que significa que la cadena completa desde el acceso a la red hasta el shell root no requiere credenciales válidas en ningún punto.

Estructura del Repositorio

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Aviso de estilo Exploit-DB + PoC
├── poc/
│   ├── command_payloads.txt         # Comandos de abuso divertidos (reproducir audio, reiniciar cámara)
│   ├── data_extraction.py           # PoC de lectura no autenticada (usuarios, información del dispositivo, instantánea)
│   └── full_chain.py                # Cadena RCE -> restablecimiento de contraseña root -> shell telnet
├── metasploit/
│   ├── command_payloads.txt         # Comandos de abuso divertidos (reproducir audio, reiniciar cámara)
│   ├── data_extraction.py           # PoC de lectura no autenticada (usuarios, información del dispositivo, instantánea)
│   └── full_chain.py                # Cadena RCE -> restablecimiento de contraseña root -> shell telnet

Impacto

Un atacante en la red local o en un segmento adyacente (o con exposición a internet, si el dispositivo tiene reenvío de puertos) puede obtener acceso root completo al dispositivo, ver la transmisión de la cámara en vivo, exfiltrar las credenciales Wi-Fi de la víctima y utilizar el dispositivo comprometido como punto de pivote hacia la red interna de la víctima — todo sin necesidad de credenciales válidas.

Cronología de Divulgación

Uso Responsable

Esta investigación se realizó contra un dispositivo propiedad del autor. El código en este repositorio se proporciona únicamente para investigación defensiva, ingeniería de detección y pruebas autorizadas. No lo utilice contra dispositivos que no posea o para los cuales no tenga autorización explícita de prueba.

Créditos

Descubierto y reportado por Amir Aliu

Licencia

Uso libre para investigación personal, educación y pruebas de seguridad autorizadas. No se permite el uso comercial, la reventa o la redistribución como parte de un producto/servicio de pago sin permiso por escrito.