CVE-2025-67158 — Revotech I6032W-FHW

Riepilogo

Il firmware della fotocamera IP Revotech I6032W-FHW contiene una vulnerabilità di bypass dell'autenticazione nell'endpoint /cgi-bin/jvsweb.cgi. Il dispositivo non valida i campi user.name e user.digest inclusi nelle richieste API in formato JSON, consentendo ad attaccanti non autenticati di invocare metodi amministrativi e recuperare informazioni sensibili.

Tipo di vulnerabilità: Controllo di accesso scorretto / Autenticazione impropria
Impatto: Divulgazione remota di informazioni, Escalation dei privilegi
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Dispositivi interessati (osservati)

---

Avviso di divulgazione della prova di concetto

I dettagli di riproduzione e le prove grezze (richieste PoC, PCAP e risposte del dispositivo) non vengono divulgati pubblicamente a causa dell'alto rischio di abuso. Le parti autorizzate (vendor, CERT, CNA) possono richiedere ulteriori dettagli tecnici dopo la verifica.

---

Osservazioni aggiuntive

• L'endpoint /cgi-bin/jvsweb.cgi accetta comandi in formato JSON senza imporre controlli di autenticazione.
• Metodi API amministrativi come account_get_users possono essere eseguiti utilizzando valori arbitrari di user.name e user.digest.
• Vengono restituite risposte amministrative identiche indipendentemente dalla validità delle credenziali, dimostrando che l'autenticazione non è imposta lato server.

---

Impatto

• Attaccanti non autenticati possono accedere alle funzionalità API amministrative.
• Informazioni sensibili su utenti e account possono essere divulgate da remoto.
• La vulnerabilità consente l'escalation dei privilegi senza credenziali valide.
• Il problema può essere sfruttato come base per un ulteriore compromesso del dispositivo.

---

Mitigazione / Raccomandazioni

1. Applicare una rigorosa validazione lato server dei campi di autenticazione per tutte le richieste API.
2. Rifiutare qualsiasi richiesta con dati di autenticazione mancanti o non validi.
3. Richiedere una sessione verificata prima di consentire l'accesso ai metodi API amministrativi.
4. Applicare gli aggiornamenti del firmware forniti dal vendor quando disponibili.
5. Limitare l'accesso di rete all'interfaccia di gestione del dispositivo.
6. Monitorare e registrare tentativi di accesso anomali o ripetuti a /cgi-bin/jvsweb.cgi.

---

Riferimenti

• Voce NVD
• Voce CVE.org

---

Riepilogo

È stata identificata una vulnerabilità nel firmware della fotocamera IP Revotech I6032W-FHW nell'endpoint /cgi-bin/jvsweb.cgi in cui la convalida dell'autenticazione non viene eseguita.
Un attaccante può invocare metodi API amministrativi semplicemente includendo valori arbitrari di user.name e user.digest nella richiesta, ottenendo così accesso a informazioni sensibili.

Tipo di vulnerabilità: Controllo di accesso insufficiente / Autenticazione impropria
Impatto: Divulgazione remota di informazioni, Escalation dei privilegi
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Dispositivi interessati (casi confermati)

---

Avviso di non divulgazione della prova di concetto (materiale di riproduzione)

Le procedure di riproduzione e le prove originali (richieste PoC, PCAP, log di risposta del dispositivo, ecc.) non vengono divulgate a causa del rischio di abuso.
Vendor, CERT, CNA e altri enti autorizzati possono richiedere ulteriori informazioni tecniche dopo la verifica.

---

Osservazioni aggiuntive

• L'API /cgi-bin/jvsweb.cgi si fida delle informazioni di autenticazione fornite dal client e non esegue alcuna validazione aggiuntiva lato server.
• Vengono restituite le stesse risposte API a livello amministrativo indipendentemente dallo stato di autenticazione.

---

Impatto

• È possibile l'accesso non autorizzato all'API del dispositivo da parte di soggetti non autenticati.
• L'esposizione di informazioni a livello amministrativo aumenta la possibilità di ulteriori attacchi.
• La vulnerabilità è sfruttabile da remoto e non richiede interazione da parte dell'utente.

---

Raccomandazioni per la mitigazione

1. Imporre una rigorosa convalida dell'autenticazione lato server per tutte le richieste API.
2. Verificare la validità della sessione e delle credenziali prima di consentire chiamate API amministrative.
3. Limitare l'accesso di rete all'interfaccia di amministrazione.
4. Applicare gli aggiornamenti di sicurezza forniti dal vendor.
5. Monitorare e registrare schemi di accesso anomali alle API.

---

Riferimenti

• Registrazione NVD
• Registrazione CVE.org