CVE-2023-31594

IC Realtime ICIP-P2012T è vulnerabile a Controllo di Accesso Errato

Canale di Streaming Non Autenticato nella telecamera IP PTZ Dome ICIP-P2012 di IC Realtime versione software: 2.420

Il feed live (MJPEG) può essere trasmesso tramite un canale HTTP esposto utilizzando lo stream di rete di VLC. Questa vulnerabilità influisce criticamente sulla riservatezza dei clienti e potrebbe essere utilizzata nella fase di ricognizione (identificare persone, risorse, password ecc.).

Proof of Concept (POC)

Se lo streaming HTTP è consentito, è possibile utilizzare un percorso URL per permettere all'utente di trasmettere in streaming MJPEG la telecamera senza alcuna autenticazione richiesta.

Il percorso: http://ip:port/cgi-bin/mjpg/video.cgi?[channel=1]&subtype=1

[Scopritore]

Youssef Mohamed - Cloud Consultancy for Digitalization & Security Muhammed Dabour - Orange Egypt