Ricerca su Telecamera IP - Fullhan FH8626V100 (AJL30PG0803)

Ricerca di sicurezza su una telecamera IP consumer basata sul SoC Fullhan FH8626V100 (modello AJL30PG0803), che ha portato all'assegnazione di sei CVE che coprono accesso API non autenticato, divulgazione di credenziali in chiaro e compromissione completa del dispositivo senza autenticazione tramite iniezione di comandi nel sistema operativo.

Analisi completa: Breaking Into My Own IP Camera

Panoramica del Dispositivo

Questa combinazione firmware/SoC è riutilizzata in molte telecamere IP consumer di diversi marchi, quindi la superficie interessata è più ampia di un singolo prodotto.

Riepilogo CVE

Catena di Sfruttamento

1. Interrogare /PSIA/Security/AAA/users senza autenticazione per recuperare le credenziali admin in chiaro (CVE-2026-51406), oppure passare direttamente al passaggio 2.
2. Inviare un payload <SYSTEM>...</SYSTEM> appositamente costruito a TCP/1300 per eseguire un comando che reimposta la password dell'account root (CVE-2026-51402).
3. Autenticarsi al telnetd BusyBox sempre attivo (porta 23) con le nuove credenziali root per ottenere una shell root interattiva completa (CVE-2026-51405).
4. Dalla shell, estrarre /app/userdata/ifcfg.wlan0 per le credenziali Wi-Fi e/o fare da pivot ulteriormente nella rete locale (CVE-2026-51407). Ogni passaggio singolarmente non richiede autenticazione, eccetto il login Telnet finale, che è banalmente soddisfatto dal reset della password effettuato dall'attaccante nel passaggio 2, il che significa che l'intera catena dall'accesso alla rete alla shell root non richiede credenziali valide in nessun punto.

Struttura del Repository

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Advisory in stile Exploit-DB + PoC
├── poc/
│   ├── command_payloads.txt         # Comandi di abuso divertenti (riproduci audio, riavvia telecamera)
│   ├── data_extraction.py           # PoC di lettura non autenticata (utenti, info dispositivo, snapshot)
│   └── full_chain.py                # Catena RCE -> reset password root -> shell telnet
├── metasploit/
│   ├── command_payloads.txt         # Comandi di abuso divertenti (riproduci audio, riavvia telecamera)
│   ├── data_extraction.py           # PoC di lettura non autenticata (utenti, info dispositivo, snapshot)
│   └── full_chain.py                # Catena RCE -> reset password root -> shell telnet

Impatto

Un attaccante sulla rete locale o su un segmento adiacente (o con esposizione a internet, se il dispositivo è configurato con port forwarding) può ottenere accesso root completo al dispositivo, visualizzare il feed live della telecamera, esfiltrare le credenziali Wi-Fi della vittima e utilizzare il dispositivo compromesso come punto di pivot nella rete interna della vittima — tutto senza bisogno di credenziali valide.

Cronologia della Divulgazione

Uso Responsabile

Questa ricerca è stata condotta su un dispositivo di proprietà dell'autore. Il codice in questo repository è fornito esclusivamente per ricerca difensiva, ingegneria del rilevamento e test autorizzati. Non utilizzarlo su dispositivi che non possiedi o per i quali non hai esplicita autorizzazione al test.

Crediti

Scoperto e segnalato da Amir Aliu

Licenza

Libero utilizzo per ricerca personale, istruzione e test di sicurezza autorizzati. L'uso commerciale, la rivendita o la redistribuzione come parte di un prodotto/servizio a pagamento non sono consentiti senza autorizzazione scritta.