IPカメラ調査 - Fullhan FH8626V100 (AJL30PG0803)

Fullhan FH8626V100 SoC（モデルAJL30PG0803）を搭載した民生用IPカメラに関するセキュリティ調査。未認証のAPIアクセス、平文資格情報の開示、OSコマンドインジェクションによる完全な未認証デバイス乗っ取りを対象とした6件のCVEが割り当てられています。

完全なレポート: Breaking Into My Own IP Camera

デバイス概要

このファームウェア/SoCの組み合わせは、多くの異なるブランドの民生用IPカメラで再利用されているため、影響範囲は単一の製品リストよりも広範囲に及びます。

CVE概要

攻撃チェーン

1. /PSIA/Security/AAA/usersに未認証でクエリを送信し、平文の管理者資格情報を取得する（CVE-2026-51406）。または手順2に直接進む。
2. 細工した<SYSTEM>...</SYSTEM>ペイロードをTCP/1300に送信し、rootアカウントのパスワードをリセットするコマンドを実行する（CVE-2026-51402）。
3. 常時稼働のBusyBox telnetd（ポート23）に新しいroot資格情報で認証し、完全な対話型rootシェルを取得する（CVE-2026-51405）。
4. シェルから/app/userdata/ifcfg.wlan0を取得してWi-Fi資格情報を収集し、さらにローカルネットワークへのピボットを行う（CVE-2026-51407）。 各ステップは個別には認証を必要としません。最終的なTelnetログインのみが認証を必要としますが、これは手順2で攻撃者自身が行ったパスワードリセットによって簡単に満たされます。つまり、ネットワークアクセスからrootシェルまでの完全なチェーンは、どの時点でも有効な資格情報を必要としません。

リポジトリ構成

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Exploit-DB形式のアドバイザリ + PoC
├── poc/
│   ├── command_payloads.txt         # 楽しい悪用コマンド（音声再生、カメラ再起動）
│   ├── data_extraction.py           # 未認証読み取りPoC（ユーザー、デバイス情報、スナップショット）
│   └── full_chain.py                # RCE -> rootパスワードリセット -> telnetシェルチェーン
├── metasploit/
│   ├── command_payloads.txt         # 楽しい悪用コマンド（音声再生、カメラ再起動）
│   ├── data_extraction.py           # 未認証読み取りPoC（ユーザー、デバイス情報、スナップショット）
│   └── full_chain.py                # RCE -> rootパスワードリセット -> telnetシェルチェーン

影響

ローカルネットワークまたは隣接セグメント上の攻撃者（またはポートフォワーディングされている場合はインターネット経由で露出している攻撃者）は、有効な資格情報を一切必要とせずに、デバイスへの完全なrootアクセスを取得し、ライブカメラ映像を閲覧し、被害者のWi-Fi資格情報を窃取し、侵害したデバイスを被害者の内部ネットワークへのピボットポイントとして使用できます。

開示スケジュール

責任ある利用

この調査は、著者が所有するデバイスに対して実施されました。このリポジトリのコードは、防御的研究、検出エンジニアリング、および許可されたテストのみを目的として提供されています。所有していないデバイスや、テストする明示的な許可がないデバイスに対して使用しないでください。

クレジット

発見および報告者: Amir Aliu

ライセンス

個人研究、教育、および許可されたセキュリティテストには自由に使用できます。商用利用、再販、または有料製品/サービスの一部としての再配布は、書面による許可なしには許可されません。