Recherche sur caméra IP - Fullhan FH8626V100 (AJL30PG0803)

Recherche en sécurité sur une caméra IP grand public basée sur le SoC Fullhan FH8626V100 (modèle AJL30PG0803), ayant abouti à l'attribution de six CVE couvrant un accès API non authentifié, la divulgation d'identifiants en clair et une compromission totale non authentifiée de l'appareil via une injection de commandes système.

Article complet : Breaking Into My Own IP Camera

Présentation de l'appareil

Cette combinaison firmware/SoC est réutilisée sur de nombreuses caméras IP grand public de marques différentes, la surface affectée est donc plus large qu'une simple référence produit.

Résumé des CVE

Chaîne d'exploitation

1. Interroger /PSIA/Security/AAA/users sans authentification pour récupérer les identifiants administrateur en clair (CVE-2026-51406), ou passer directement à l'étape 2.
2. Envoyer une charge utile <SYSTEM>...</SYSTEM> conçue sur TCP/1300 pour exécuter une commande qui réinitialise le mot de passe du compte root (CVE-2026-51402).
3. S'authentifier auprès du telnetd BusyBox toujours actif (port 23) avec les nouveaux identifiants root pour obtenir un shell root interactif complet (CVE-2026-51405).
4. Depuis le shell, récupérer /app/userdata/ifcfg.wlan0 pour les identifiants Wi-Fi et/ou pivoter plus loin dans le réseau local (CVE-2026-51407). Chaque étape individuellement ne nécessite aucune authentification, à l'exception de la connexion Telnet finale, qui est trivialement satisfaite par la réinitialisation du mot de passe effectuée par l'attaquant à l'étape 2, ce qui signifie que la chaîne complète, de l'accès réseau au shell root, ne nécessite aucun identifiant valide à aucun moment.

Structure du dépôt

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Avis de style Exploit-DB + PoC
├── poc/
│   ├── command_payloads.txt         # Commandes d'abus amusantes (jouer de l'audio, redémarrer la caméra)
│   ├── data_extraction.py           # PoC de lecture non authentifiée (utilisateurs, informations de l'appareil, instantané)
│   └── full_chain.py                # Chaîne RCE -> réinitialisation du mot de passe root -> shell telnet
├── metasploit/
│   ├── command_payloads.txt         # Commandes d'abus amusantes (jouer de l'audio, redémarrer la caméra)
│   ├── data_extraction.py           # PoC de lecture non authentifiée (utilisateurs, informations de l'appareil, instantané)
│   └── full_chain.py                # Chaîne RCE -> réinitialisation du mot de passe root -> shell telnet

Impact

Un attaquant sur le réseau local ou un segment adjacent (ou avec une exposition Internet, si l'appareil est redirigé par port) peut obtenir un accès root complet à l'appareil, visualiser le flux vidéo en direct de la caméra, exfiltrer les identifiants Wi-Fi de la victime et utiliser l'appareil compromis comme point de pivot vers le réseau interne de la victime — le tout sans avoir besoin d'identifiants valides.

Chronologie de divulgation

Utilisation responsable

Cette recherche a été menée sur un appareil appartenant à l'auteur. Le code de ce dépôt est fourni uniquement pour la recherche défensive, l'ingénierie de détection et les tests autorisés. Ne l'utilisez pas contre des appareils que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation explicite de test.

Crédits

Découvert et signalé par Amir Aliu

Licence

Libre d'utilisation pour la recherche personnelle, l'éducation et les tests de sécurité autorisés. L'utilisation commerciale, la revente ou la redistribution dans le cadre d'un produit/service payant n'est pas autorisée sans autorisation écrite.