CVE-2025-63667 — Preuve de vulnérabilité des caméras IP basées sur Vatilon (Nettoyé)

Résumé

Plusieurs caméras IP basées sur Vatilon (marques observées : SIMICAM, KEVIEW, ASECAM) émettent des jetons Session-Id sans vérifier la validité des identifiants. Cette faille permet à des attaquants non authentifiés d’obtenir des sessions valides et d’accéder à des données administratives telles que des identifiants de comptes en clair via des points d’accès API exposés.

Type de vulnérabilité : Contrôle d’accès incorrect / Authentification inadéquate
Impact : Divulgation d’informations à distance, élévation de privilèges
CVSS v3.1 : 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Appareils concernés (observés)

---

Avis de non-divulgation de la preuve de concept

Les détails de reproduction et les preuves brutes (scripts PoC, PCAP, sorties des appareils) sont retenus de la divulgation publique en raison du risque élevé d’abus. Les parties autorisées (vendeurs, CERT, CNA) peuvent demander l’accès à l’archive complète des preuves après vérification.
Archive des preuves : Vatilon_vulnerability_evidence_2025.zip
SHA256 : 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04

---

Observations supplémentaires

• Le firmware expose le service Telnet sur le port TCP 2360, vraisemblablement pour la maintenance/le débogage.
• L’interface Web annonce une authentification Digest, mais /cgi-bin/web.cgi?mod=session&cmd=login1 accepte des identifiants de type Basic et émet des jetons Session-Id indépendamment de la validité des identifiants.
• Les points d’accès de liste des comptes peuvent renvoyer des champs pwd en clair.

---

Impact

• Les jetons de session émis sans authentification appropriée permettent un accès non autorisé aux API de l’appareil.
• Les points d’accès de liste des comptes renvoyant des mots de passe en clair permettent la prise de contrôle et la modification de la configuration.
• Les services de maintenance exposés augmentent la surface d’attaque pour une compromission à distance.

---

Atténuation / Recommandations

1. Valider les identifiants avant d’émettre des jetons de session ; garantir que l’émission de Session-Id ne se produit qu’après une authentification réussie.
2. Supprimer l’exposition des mots de passe en clair des réponses API ; stocker et vérifier uniquement des hachages sécurisés côté serveur.
3. Imposer une authentification appropriée sur tous les points d’accès API et cesser d’accepter les identifiants de type Basic comme solution de repli.
4. Désactiver ou restreindre Telnet et autres services de maintenance.
5. Appliquer une limitation de débit, un verrouillage de compte et une surveillance des accès API anormaux.
6. Renforcer la configuration du serveur Web/thttpd pour éviter d’exposer publiquement des points d’accès sensibles.

---

Archive des preuves

• Fichier : Vatilon_vulnerability_evidence_2025.zip
• SHA256 : 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04
  (L’archive complète n’est pas publiée ici. Les demandes d’accès doivent être autorisées.)

---

Références

• Entrée NVD
• Entrée CVE.org