aziot-cctv-cve-2025-50777

CVE-2025-50777 : Accès Root et Exposition d'Identifiants en Clair dans la Caméra Intelligente AZIOT

Résumé

Une vulnérabilité de contrôle d'accès local (CVE-2025-50777) a été identifiée dans le firmware de la Caméra de Sécurité Domestique AZIOT 2MP Full HD Smart Wi-Fi CCTV (Version du firmware V1.00.02). Ce défaut permet aux attaquants ayant un accès physique ou réseau local d'obtenir un accès shell root non autorisé et d'extraire des identifiants sensibles stockés en clair. La vulnérabilité a été découverte lors d'une évaluation de sécurité du firmware de l'appareil.

---

Identifiant CVE

CVE-2025-50777 (actuellement RÉSERVÉ)

---

Produit Affecté

• Vendeur : AZIOT
• Produit : Caméra de Sécurité Domestique AZIOT 2MP Full HD Smart Wi-Fi CCTV
• Version du firmware : V1.00.02
• Stockage : 128 Go, 1 canal

---

Détails de la Vulnérabilité

Lors de l'analyse du firmware et des tests d'accès UART, les problèmes suivants ont été identifiés :

• L'appareil permet de contourner l'authentification au niveau du démarrage via la console UART en utilisant des configurations non sécurisées du bootloader et des scripts d'initialisation.
• Une fois l'accès root obtenu, le système de fichiers révèle des identifiants sensibles en clair, y compris :
  • SSID et mot de passe Wi-Fi
  • Identifiants d'authentification du service ONVIF

Aucun mécanisme de chiffrement, de contrôle d'accès ou de stockage sécurisé ne protège ces identifiants dans le firmware actuel.

---

Impact

---

Recommandations

En attendant qu'un correctif du vendeur soit disponible, il est conseillé aux utilisateurs de :

• Surveiller toute activité ONVIF ou RTSP inhabituelle
• Désactiver ONVIF si non utilisé
• Chiffrer toutes les données sensibles au repos et en transit

---

Découvreur

Gadige Veeresh
Chercheur en Sécurité Embarquée
LinkedIn

---

Chronologie de Divulgation

---

Référence

• http://aziot.com – Site web du vendeur

---

Note Légale

Cette divulgation est à des fins éducatives et de recherche uniquement. L'auteur n'assume aucune responsabilité en cas d'utilisation abusive de ces informations.