CVE-2025-67158 — Revotech I6032W-FHW

Resumen

El firmware de la cámara IP Revotech I6032W-FHW contiene una vulnerabilidad de omisión de autenticación en el endpoint /cgi-bin/jvsweb.cgi. El dispositivo no valida los campos user.name y user.digest incluidos en las solicitudes de API basadas en JSON, lo que permite a atacantes no autenticados invocar métodos administrativos y recuperar información sensible.

Tipo de vulnerabilidad: Control de acceso incorrecto / Autenticación inadecuada
Impacto: Divulgación remota de información, Escalada de privilegios
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Dispositivos afectados (observados)

---

Aviso de no divulgación de la prueba de concepto

Los detalles de reproducción y las evidencias en bruto (solicitudes PoC, PCAPs y respuestas del dispositivo) se omiten de la divulgación pública debido al alto riesgo de abuso. Las partes autorizadas (proveedores, CERTs, CNAs) pueden solicitar detalles técnicos adicionales tras la verificación.

---

Observaciones adicionales

• El endpoint /cgi-bin/jvsweb.cgi acepta comandos en formato JSON sin aplicar comprobaciones de autenticación.
• Los métodos de API administrativos, como account_get_users, pueden ejecutarse utilizando valores arbitrarios de user.name y user.digest.
• Se devuelven respuestas administrativas idénticas independientemente de la validez de las credenciales, lo que demuestra que la autenticación no se aplica en el lado del servidor.

---

Impacto

• Los atacantes no autenticados pueden acceder a la funcionalidad administrativa de la API.
• La información sensible de usuarios y cuentas puede divulgarse de forma remota.
• La vulnerabilidad permite la escalada de privilegios sin credenciales válidas.
• El problema puede aprovecharse como base para un mayor compromiso del dispositivo.

---

Mitigación / Recomendaciones

1. Aplique una validación estricta en el servidor de los campos de autenticación para todas las solicitudes de API.
2. Rechace cualquier solicitud con datos de autenticación no válidos o ausentes.
3. Exija una sesión verificada antes de permitir el acceso a los métodos de API administrativos.
4. Aplique las actualizaciones de firmware proporcionadas por el proveedor cuando estén disponibles.
5. Restrinja el acceso de red a la interfaz de administración del dispositivo.
6. Supervise y registre intentos de acceso anormales o repetidos a /cgi-bin/jvsweb.cgi.

---

Referencias

• Entrada de NVD
• Entrada de CVE.org

---

Resumen

Se ha confirmado una vulnerabilidad en el endpoint /cgi-bin/jvsweb.cgi del firmware de la cámara IP Revotech I6032W-FHW donde no se realiza la verificación de autenticación.
Un atacante puede invocar métodos de API administrativos simplemente con una solicitud que incluya valores arbitrarios de user.name y user.digest, y de este modo acceder a información sensible.

Tipo de vulnerabilidad: Control de acceso insuficiente / Autenticación inadecuada
Impacto: Divulgación remota de información, Escalada de privilegios
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Equipos afectados (casos confirmados)

---

Aviso de no divulgación de la prueba de concepto (material de reproducción)

Los procedimientos de reproducción y las evidencias originales (solicitudes PoC, PCAP, registros de respuesta del dispositivo, etc.) no se divulgan debido al riesgo de abuso. Los organismos autorizados, como proveedores, CERT y CNA, pueden solicitar información técnica adicional tras la verificación.

---

Observaciones adicionales

• La API /cgi-bin/jvsweb.cgi confía en la información de autenticación proporcionada por el cliente y no realiza ninguna verificación adicional en el servidor.
• Se devuelve la misma respuesta de API a nivel administrativo independientemente de si la autenticación es válida.

---

Impacto

• Es posible el acceso no autorizado a la API del dispositivo sin autenticación.
• La exposición de información a nivel administrativo aumenta la posibilidad de ataques adicionales.
• La vulnerabilidad se puede reproducir de forma remota y no requiere interacción del usuario.

---

Recomendaciones de mitigación

1. Aplique la verificación de autenticación en el servidor para todas las solicitudes de API.
2. Compruebe la validez de la sesión y las credenciales antes de llamar a la API administrativa.
3. Restrinja el acceso de red a la interfaz de administración.
4. Aplique las actualizaciones de seguridad proporcionadas por el proveedor.
5. Supervise y registre patrones anómalos de acceso a la API.

---

Referencias

• Entrada de NVD
• Entrada de CVE.org