CVE-2025-70962

Uso di credenziali hard-coded nel servizio RTSP della telecamera IP ZOSI C519M

Riepilogo

La ZOSI C519M include una coppia di credenziali RTSP hard-coded (admin:admin) memorizzata in chiaro in /app/config.xml nel filesystem del dispositivo, confermata sul firmware V4.2.8.832C01450BA. Il servizio RTSP su TCP/554 accetta tali credenziali e il percorso dello stream è anch'esso fisso (/video1), entrambi recuperabili dalle stringhe nel binario IPC. Qualsiasi attaccante remoto in grado di raggiungere TCP/554 può quindi autenticarsi e ottenere il flusso video live senza alcuna interazione preventiva con il proprietario.

Il vendor espone una funzionalità di "password di protezione" nell'app Zosi Smart, ma essa riscrive solo la credenziale dell'account user. La credenziale admin rimane invariata come admin:admin, e il dispositivo non offre alcuna interfaccia tramite cui il proprietario possa modificarla o disabilitarla. Le credenziali sono incluse nell'immagine del firmware anziché essere generate al primo avvio, quindi ogni unità che esegue V4.2.8.832C01450BA porta gli stessi valori admin.

Impatto

Divulgazione remota non autenticata del flusso video live della telecamera — una perdita totale di riservatezza per qualsiasi cosa la telecamera osservi. Non è richiesta alcuna interazione dell'utente né alcun privilegio; è sufficiente la raggiungibilità di rete di TCP/554.

Il punteggio è limitato alla riservatezza perché il percorso di accesso dimostrato è di sola lettura: il servizio RTSP fornisce lo stream video e non espone alcuna capacità di configurazione o controllo, quindi la credenziale hard-coded non consente di per sé di modificare le impostazioni del dispositivo o di interromperne il funzionamento. Da qui C:H/I:N/A:N anziché un punteggio di compromissione totale del dispositivo. L'enumerazione di altri servizi sul dispositivo non è stata esaustiva; se la stessa credenziale fosse accettata da un'altra interfaccia, l'impatto nel mondo reale supererebbe il punteggio qui indicato.

Sul vettore di attacco. Il recupero delle credenziali ha richiesto un accesso fisico una tantum a una singola unità tramite UART. Lo sfruttamento della vulnerabilità no. La stessa coppia admin:admin è presente su ogni dispositivo che esegue questo firmware ed è ora pubblica, quindi qualsiasi attaccante successivo non ha bisogno altro che della raggiungibilità di rete di TCP/554 su qualsiasi telecamera interessata. Il passo fisico appartiene alla scoperta, che è già avvenuta e non è una barriera che un attaccante debba ripetere. Il vettore di attacco è quindi di Rete (AV:N), non Fisico.

Analisi

Il firmware è stato ottenuto tramite la console UART esposta sulla scheda del dispositivo; il binario IPC e /app/config.xml sono stati estratti dall'immagine risultante. Questo passo fisico una tantum è stato necessario solo per scoprire le credenziali — vedi Impatto per il motivo per cui non influisce sul vettore di attacco della vulnerabilità stessa.

1. Verifica della porta

• Sulla ZOSI C519M era presente una porta 554 aperta. La porta 554 è la porta predefinita per RTSP (Real Time Streaming Protocol).

2. Individuazione della configurazione RTSP

• Con IDA Pro, ho estratto e sottoposto a reverse engineering il binario IPC di questo prodotto, dove la funzione Rtspserver_Init() inizializza il servizio RTSP.

• Questa funzione contiene un percorso hard-coded al file di configurazione RTSP.

• L'URL hard-coded del servizio di streaming RTSP è anch'esso recuperabile dalle stringhe nel binario IPC estratto.

• Infine, le credenziali hard-coded stesse sono memorizzate in chiaro in /app/config.xml.

3. La rotazione delle credenziali non copre l'account admin

ZOSI documenta una funzionalità di password di protezione per questo modello, impostata tramite l'app Zosi Smart. Impostarla non risolve il problema: dopo aver configurato una password di protezione lato app e riletto /app/config.xml, solo la credenziale dell'account user era stata riscritta. La voce admin rimaneva admin:admin sul firmware V4.2.8.832C01450BA.

Di conseguenza non esiste alcun meccanismo accessibile al proprietario per modificare o disabilitare la credenziale admin. Qualsiasi indicazione che inviti gli utenti a impostare una password nell'app non affronta questa vulnerabilità.

Proof of Concept

ffplay -rtsp_transport tcp rtsp://admin:admin@$IP_ADDRESS:554/video1

Un'esecuzione riuscita riproduce il flusso video live del dispositivo, senza richiesta di credenziali e senza approvazione lato proprietario.

Dimostrazione

Fai clic sulla miniatura per guardare lo sfruttamento registrato su YouTube.

Cronologia della divulgazione

Mitigazione

Nessuna patch del vendor è disponibile al 2026-08-05, e la credenziale admin non può essere modificata dal proprietario del dispositivo. Finché non verrà rilasciata una correzione:

• Bloccare il traffico TCP/554 in ingresso verso la telecamera al perimetro di rete.
• Posizionare la telecamera su una VLAN segmentata senza route in ingresso da reti non fidate, e raggiungerla tramite VPN anziché tramite port forwarding.
• Rimuovere qualsiasi regola di port forwarding esistente per TCP/554 e disabilitare UPnP sul router perimetrale affinché il dispositivo non possa crearne una da solo.

Impostare la password di protezione nell'app Zosi Smart non è una mitigazione, per il motivo indicato in Analisi §3.

Una correzione corretta da parte del vendor richiede di fornire la credenziale admin per dispositivo al primo avvio, o di rifiutare le connessioni RTSP finché il proprietario non ha impostato una credenziale — non sostituire un valore hard-coded con un altro.

Riferimenti

• Analisi tecnica e PoC: https://github.com/namaek2/CVE-2025-70962
• Video dimostrativo: https://youtu.be/fOgHo1jF8fQ
• Record CVE: https://www.cve.org/CVERecord?id=CVE-2025-70962
• Pagina prodotto del vendor: https://eu.zositech.com/products/c519m-4k-indoor-wifi-pt-camera
• Hub di supporto del vendor per questo modello: https://supports.zositech.com/hc/en-us/categories/28435104244121-C519M
• Download firmware del vendor: https://supports.zositech.com/hc/en-us/sections/34475932007577-Firmware-Downloads
• Correlata, stessa classe di vulnerabilità e identico vettore CVSS: CVE-2025-65857 (telecamere IP Xiongmai XM530) — https://www.cve.org/CVERecord?id=CVE-2025-65857

Nota sui test

Tutti i test sono stati eseguiti su un dispositivo di proprietà dell'autore, su una rete isolata. Questa advisory è pubblicata affinché i proprietari e gli operatori del prodotto interessato possano valutare e mitigare la propria esposizione. Accedere a una telecamera di cui non si è proprietari o per cui non si dispone di autorizzazione scritta ai test è illegale nella maggior parte delle giurisdizioni.