aziot-cctv-cve-2025-50777

CVE-2025-50777: Acceso Root y Exposición de Credenciales en Texto Plano en AZIOT Smart CCTV

Resumen

Se ha identificado una vulnerabilidad de control de acceso local (CVE-2025-50777) en el firmware de la AZIOT 2MP Full HD Smart Wi-Fi CCTV Home Security Camera (Versión de firmware V1.00.02). Este fallo permite a atacantes con acceso físico o a la red local obtener acceso root no autorizado y extraer credenciales sensibles almacenadas en texto plano. La vulnerabilidad fue descubierta durante una evaluación de seguridad del firmware del dispositivo.

---

ID de CVE

CVE-2025-50777 (actualmente RESERVADO)

---

Producto Afectado

• Fabricante: AZIOT
• Producto: 2MP Full HD Smart Wi-Fi CCTV Home Security Camera
• Versión de firmware: V1.00.02
• Almacenamiento: 128GB, 1 Canal

---

Detalles de la Vulnerabilidad

Durante el análisis del firmware y las pruebas de acceso UART, se identificaron los siguientes problemas:

• El dispositivo permite omitir la autenticación a nivel de arranque mediante la consola UART utilizando configuraciones inseguras del cargador de arranque y scripts de inicio.
• Una vez obtenido el acceso root, el sistema de archivos revela credenciales sensibles en texto plano, incluyendo:
  • SSID y contraseña de Wi-Fi
  • Credenciales de autenticación del servicio ONVIF

No hay mecanismos de cifrado, control de acceso o almacenamiento seguro que protejan estas credenciales en el firmware actual.

---

Impacto

---

Recomendaciones

Hasta que se disponga de un parche del fabricante, se recomienda a los usuarios:

• Monitorear actividad inusual de ONVIF o RTSP
• Deshabilitar ONVIF si no se usa
• Cifrar todos los datos sensibles en almacenamiento y tránsito

---

Descubridor

Gadige Veeresh
Investigador de Seguridad Embebida
LinkedIn

---

Cronología de Divulgación

---

Referencia

• http://aziot.com – Sitio web del fabricante

---

Nota Legal

Esta divulgación es solo con fines educativos y de investigación. El autor no asume responsabilidad por el mal uso de esta información.