CVE-2023-31594

La IC Realtime ICIP-P2012T es vulnerable a un Control de Acceso Incorrecto

Canal de transmisión sin autenticación en la cámara domo PTZ IP IC Realtime ICIP-P2012, versión de software: 2.420

La transmisión en vivo (MJPEG) se puede reproducir a través de un canal HTTP expuesto utilizando la red de transmisión de VLC. Esta vulnerabilidad afecta críticamente la confidencialidad de los clientes y podría utilizarse en la fase de reconocimiento (identificar personas, activos, contraseñas, etc.).

Prueba de Concepto (POC)

Si la transmisión HTTP está permitida, se podría utilizar una ruta URL para permitir al usuario transmitir MJPEG desde la cámara sin requerir autenticación alguna.

La ruta: http://ip:port/cgi-bin/mjpg/video.cgi?[channel=1]&subtype=1

[Descubridor]

Youssef Mohamed - Consultoría en la Nube para Digitalización y Seguridad