CVE-2025-67160 — Caméras IP basées sur Vatilon

Résumé

Le firmware des caméras IP basées sur Vatilon expose plusieurs répertoires web internes sans exiger d'authentification. Lorsque l'indexation des répertoires est activée sur le serveur web intégré, des attaquants non authentifiés peuvent accéder à des répertoires tels que /cgi-bin/, /view/, /css/, /img/, /img2/, /js/, /js2/ et /onvif/, révélant des scripts internes, des pages de configuration et des détails d'implémentation sensibles.

Cette exposition permet aux attaquants d'étudier la structure interne de l'interface web et peut accroître l'impact d'autres vulnérabilités, telles que le contournement de l'authentification ou l'accès non autorisé à la configuration.

Type de vulnérabilité : Contrôle d'accès incorrect
Impact : Divulgation d'informations à distance
CVSS v3.1 : 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Appareils concernés (observés)

D'autres modèles utilisant le même firmware Vatilon peuvent également être concernés.

---

Avis de divulgation de la preuve de concept

Les détails de reproduction et les preuves brutes ne sont pas divulgués publiquement en raison d'un risque d'abus potentiel. Les parties autorisées (fournisseurs, CERT, CNA) peuvent demander des détails techniques supplémentaires après vérification.

---

Observations supplémentaires

• Le serveur web intégré autorise le listage de répertoires sans authentification sur plusieurs chemins de premier niveau, notamment /view/, /cgi-bin/, /css/, /img/, /img2/, /js/, /js2/ et /onvif/.
• Ces répertoires contiennent des composants HTML, JavaScript et CGI destinés à n'être accessibles qu'après une authentification réussie.
• Les scripts frontend exposés révèlent des détails d'implémentation sensibles, tels que les points de terminaison API internes et les paramètres de requête requis.
• Plusieurs scripts côté client intègrent les champs username et password dans la logique des requêtes API.
• Le chargement direct de pages telles que /view/player.html via les répertoires exposés peut amener le navigateur à émettre des requêtes API incluant des valeurs d'identifiants en clair dans le trafic réseau.
• Étant donné que ces ressources sont accessibles sans session de connexion valide, les attaquants peuvent observer et reproduire le comportement interne de l'API, y compris des requêtes non autorisées vers .

---

Impact

• Divulgation de la structure interne de l'application web et de l'organisation des ressources.
• Exposition des points de terminaison API et de l'utilisation des paramètres non destinés aux utilisateurs non authentifiés.
• Probabilité accrue d'exploitation secondaire, y compris le contournement de l'authentification et l'accès non autorisé à la configuration lorsqu'elle est combinée à d'autres failles.
• Le problème est entièrement reproductible via un navigateur web standard, sans interaction de l'utilisateur.

---

Atténuation / Recommandations

1. Désactivez l'indexation des répertoires sur le serveur web intégré.
2. Appliquez des contrôles d'authentification avant de servir les répertoires internes et les ressources statiques.
3. Restreignez l'accès aux gestionnaires CGI et aux interfaces d'administration.
4. Supprimez les informations sensibles et les identifiants des scripts côté client.
5. Appliquez les mises à jour du firmware fournies par le fournisseur dès qu'elles sont disponibles.
6. Surveillez les journaux du serveur web pour détecter les tentatives d'accès anormales aux répertoires.

---

Références

• Entrée NVD
• Entrée CVE.org

---

Résumé

Une vulnérabilité a été identifiée dans le firmware des caméras IP basées sur Vatilon, permettant d'accéder sans authentification aux répertoires web internes.
Les attaquants peuvent directement consulter des répertoires tels que /cgi-bin/, /view/, /css/, /js/, /img/ et /onvif/, ce qui leur permet d'obtenir des informations d'implémentation sensibles comme la structure interne, les points de terminaison API et les paramètres de requête.

À elle seule, cette vulnérabilité ne provoque ni modification de configuration ni exécution de code, mais combinée à d'autres vulnérabilités telles que le contournement de l'authentification, elle peut considérablement accroître l'efficacité d'une attaque.

Type de vulnérabilité : Contrôle d'accès incorrect
Impact : Divulgation d'informations à distance
CVSS v3.1 : 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Appareils concernés (cas confirmés)

---

Avis de non-divulgation de la preuve de概念 (données de reproduction)

Les procédures de reproduction et les preuves originales ne sont pas divulguées en raison du risque d'exploitation abusive.
Les organismes autorisés (fournisseurs, CERT, CNA) peuvent demander des informations techniques supplémentaires après vérification.

---

Observations supplémentaires

• Cette vulnérabilité présente surtout un caractère de collecte d'informations via l'exposition de ressources internes.
• Le risque augmente davantage en cas de combinaison avec d'autres vulnérabilités que par une exploitation isolée.

---

Impact

• Exposition des ressources web internes et des informations de structure
• Élargissement de la surface d'attaque
• Probabilité accrue d'attaques secondaires

---

Recommandations d'atténuation

1. Désactivez l'indexation des répertoires.
2. Bloquez l'accès aux ressources non authentifiées.
3. N'exposez pas les ressources web d'administration à l'extérieur.
4. Appliquez les mises à jour de sécurité fournies par le fournisseur.
5. Surveillez les tentatives d'accès anormales aux répertoires.