CVE-2025-67159 — Telecamere IP basate su Vatilon

Riepilogo

Il firmware delle telecamere IP basate su Vatilon contiene una vulnerabilità di bypass dell'autenticazione ed esposizione di credenziali in chiaro nell'API /cgi-bin/web.cgi. L'interfaccia web elabora richieste contenenti i parametri username e password in chiaro senza convalidare lo stato di autenticazione o il contesto di sessione, consentendo a utenti non autenticati di recuperare informazioni sensibili del dispositivo e dati amministrativi.

Tipo di vulnerabilità: Controllo di accesso errato / Autenticazione impropria
Impatto: Divulgazione remota di informazioni, escalation dei privilegi
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Dispositivi affetti (osservati)

Potrebbero essere interessati anche altri dispositivi che utilizzano lo stesso firmware Vatilon.

---

Avviso di divulgazione del proof-of-concept

I dettagli di riproduzione, le catture di pacchetti e i dati grezzi di richiesta/risposta non vengono divulgati pubblicamente a causa dell'alto rischio di abuso. Le parti autorizzate (fornitori, CERT, CNA) possono richiedere ulteriori dettagli tecnici dopo la verifica.

---

Osservazioni aggiuntive

• L'endpoint /cgi-bin/web.cgi accetta i parametri username e password tramite richieste HTTP GET senza imporre autenticazione o convalida della sessione.
• Le credenziali vengono trasmesse in chiaro e sono visibili nel traffico di rete e negli strumenti di sviluppo del browser.
• L'accesso diretto a /view/player.html può attivare richieste API non autenticate a /cgi-bin/web.cgi, anche senza una sessione di accesso valida.
• L'applicazione web sembra basarsi sullo stato lato client piuttosto che sull'imposizione dell'autenticazione lato server.

---

Impatto

• Le credenziali di amministratore in chiaro possono essere esposte a utenti non autenticati.
• Gli aggressori possono recuperare la configurazione del dispositivo e informazioni sensibili da remoto.
• La vulnerabilità consente l'accesso non autorizzato e può portare alla compromissione totale del dispositivo.
• Il problema può essere sfruttato da remoto senza interazione da parte dell'utente.

---

Mitigazione / Raccomandazioni

1. Imporre l'autenticazione lato server e la convalida della sessione per tutte le richieste /cgi-bin/web.cgi.
2. Smettere di accettare credenziali in chiaro nei parametri URL; utilizzare meccanismi di autenticazione sicuri.
3. Assicurarsi che tutti i componenti dell'interfaccia web richiedano una sessione autenticata valida.
4. Rimuovere le informazioni sensibili dalle risposte API.
5. Applicare gli aggiornamenti del firmware forniti dal produttore quando disponibili.
6. Limitare l'accesso all'interfaccia web del dispositivo utilizzando controlli a livello di rete.

---

Riferimenti

• Voce NVD
• Voce CVE.org

---

Riepilogo

Nel firmware delle telecamere IP basate su Vatilon è stata identificata una vulnerabilità per cui le richieste API /cgi-bin/web.cgi non effettuano la convalida dell'autenticazione e della sessione. Ciò consente agli aggressori di inviare richieste contenenti i parametri username e password anche senza autenticazione, esponendo tali credenziali in chiaro e consentendo l'accesso a informazioni sensibili del dispositivo.

Tipo di vulnerabilità: Controllo di accesso insufficiente / Autenticazione inadeguata
Impatto: Divulgazione remota di informazioni, escalation dei privilegi
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Dispositivi interessati (casi confermati)

---

Avviso di non divulgazione della prova di concetto (materiale di riproduzione)

Le procedure di riproduzione e le prove originali (richieste PoC, PCAP, log di rete del browser, ecc.) non vengono divulgate a causa del rischio di abuso. Fornitori, CERT, CNA e altri enti autorizzati possono richiedere ulteriori informazioni tecniche dopo la verifica.

---

Osservazioni aggiuntive

• L'interfaccia web si basa sulle richieste del client senza convalida dell'autenticazione lato server.
• Il semplice accesso all'interfaccia di streaming (/view/player.html) può innescare chiamate API non autenticate.

---

Impatto

• Possibilità di accedere alle API del dispositivo senza autenticazione.
• Esposizione in chiaro delle credenziali di amministratore.
• Possibilità di estrarre la configurazione del dispositivo e ulteriori compromissioni tramite attacco remoto.

---

Raccomandazioni di mitigazione

1. Imporre l'autenticazione lato server e la convalida della sessione per tutte le richieste API.
2. Eliminare la trasmissione di credenziali in chiaro.
3. Bloccare l'accesso all'interfaccia web non autenticata.
4. Applicare gli aggiornamenti di sicurezza forniti dal produttore.
5. Monitorare richieste web anomale e pattern di accesso.