CVE-2020-25748

CVE-2020-25748

[推奨説明] Rubetek RV-3406、RV-3409、RV-3411 カメラ（ファームウェアバージョン v342、v339）において、平文送信の問題が発見されました。中間者がカメラからの映像データを傍受および改ざんすることができます。このデータは暗号化されていない形式で送信されます。また、NTP および RTSP サーバーからの応答を改ざんし、カメラに変更された値を使用させることも可能です。

[追加情報] 脆弱性に関する通知がベンダーに送付されました。

[脆弱性タイプ（その他）] CWE-319: 機密情報の平文送信

[製品ベンダー] Rubetek (https://rubetek.com/)

[影響を受ける製品コードベース] Camera RV-3406 - 影響を受けるファームウェアバージョンは 339 および 342 です。修正バージョンはありません。 Camera RV-3409 - 影響を受けるファームウェアバージョンは 339 および 342 です。修正バージョンはありません。 Camera RV-3411 - 影響を受けるファームウェアバージョンは 339 および 342 です。修正バージョンはありません。

[影響を受けるコンポーネント] RTP サービス、NTP クライアント、DNS クライアント

[攻撃タイプ] リモート

[影響: サービス拒否] true

[影響: 情報漏洩] true

[攻撃ベクター] 中間者がカメラからの映像データを傍受および改ざんすることができます。また、NTP および RTSP サーバーからの応答を改ざんし、カメラに変更された値を使用させることも可能です。

[発見者] Sergey Zelensky (Jet Infosystems, jet.su)

[参照] https://jet.su