CVE-2023-31594

La IC Realtime ICIP-P2012T è vulnerabile a un controllo degli accessi errato

Canale di streaming non autenticato nella telecamera PTZ Dome IP ICIP-P2012 di IC Realtime, versione software: 2.420

Il flusso live (MJPEG) può essere trasmesso tramite un canale HTTP esposto utilizzando lo streaming di rete di VLC. Questa vulnerabilità compromette criticamente la riservatezza dei clienti e potrebbe essere utilizzata in fase di ricognizione (identificare persone, beni, password, ecc.).

Prova di concetto (POC)

Se lo streaming HTTP è consentito, un percorso URL potrebbe essere utilizzato per consentire all'utente di trasmettere in streaming MJPEG la telecamera senza alcuna autenticazione richiesta.

Il percorso: http://ip:port/cgi-bin/mjpg/video.cgi?[channel=1]&subtype=1

[Scopritore]

Youssef Mohamed - Cloud Consultancy for Digitalization & Security