CVE-2020-25747

CVE-2020-25747

[推奨説明] Rubetek RV-3406、RV-3409、RV-3411カメラ（ファームウェアバージョンv342、v339）のTelnetサービスにより、リモートの攻撃者が認証なしでRTSPおよびONFIVサービスへのアクセスを取得できる可能性があります。したがって、攻撃者はカメラのライブストリームを視聴したり、カメラを回転させたり、一部の設定（明るさ、鮮明度、時間）を変更したり、カメラを再起動したり、工場出荷時の設定にリセットしたりすることができます。

[追加情報] 脆弱性に関する通知がベンダーに送付されました。

[脆弱性タイプ] 不適切なアクセス制御

[製品のベンダー] Rubetek (https://rubetek.com/)

[影響を受ける製品コードベース] Camera RV-3406 - ファームウェアバージョン339および342が影響を受けます。修正バージョンはありません。 Camera RV-3409 - ファームウェアバージョン339および342が影響を受けます。修正バージョンはありません。 Camera RV-3411 - ファームウェアバージョン339および342が影響を受けます。修正バージョンはありません。

[影響を受けるコンポーネント] ONVIF-service, RTSP-service

[攻撃タイプ] リモート

[サービス拒否の影響] true

[情報漏洩の影響] true

[CVEのその他の影響] ONVIFサービスにより、カメラの移動や一部の設定（明るさ、鮮明度、時間）の変更が可能で、デバイスの再起動や工場出荷時設定へのリセットを有効にすることができます。

[攻撃ベクトル] カメラへのネットワークアクセスを持つ誰でも、認証を使用せずにONVIFおよびRTSPサービスに接続できます。

[発見者] Sergey Zelensky (Jet Infosystems, jet.su)

[参考] https://jet.su