CVE-2025-63667 — VatilonベースIPカメラの脆弱性証拠（サニタイズ版）

概要

複数のVatilonベースIPカメラ（確認されたブランド: SIMICAM、KEVIEW、ASECAM）は、認証情報の正当性を検証せずにSession-Idトークンを発行します。この欠陥により、認証されていない攻撃者が有効なセッションを取得し、公開されたAPIエンドポイントを通じて平文のアカウント認証情報など管理データにアクセスできます。

脆弱性の種類: 不適切なアクセス制御 / 不適切な認証
影響: リモート情報漏洩、権限昇格
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

影響を受けるデバイス（確認済み）

---

概念実証（PoC）開示に関する注意事項

再現の詳細および生の証拠（PoCスクリプト、PCAP、デバイス出力）は、悪用リスクが高いため公開を控えています。承認された関係者（ベンダー、CERT、CNA）は、確認後、完全な証拠アーカイブへのアクセスを要求できます。
証拠アーカイブ: Vatilon_vulnerability_evidence_2025.zip
SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04

---

追加の観察事項

• ファームウェアは、おそらく保守/デバッグ目的で、TCP ポート2360 に Telnet サービスを公開しています。
• Web UI は Digest 認証を掲示していますが、/cgi-bin/web.cgi?mod=session&cmd=login1 は Basic 形式の認証情報を受け入れ、認証情報の有効性に関係なく Session-Id トークンを発行します。
• アカウント一覧エンドポイントが平文の pwd フィールドを返す可能性があります。

---

影響

• 適切な認証なしに発行されたセッショントークンにより、デバイス API への不正アクセスが可能になります。
• アカウント一覧エンドポイントが平文パスワードを返すことで、乗っ取りや設定変更が可能になります。
• 保守サービスが公開されているため、リモート侵害の攻撃対象領域が拡大します。

---

緩和策 / 推奨事項

1. セッショントークンを発行する前に認証情報を検証し、Session-Id の発行は認証成功後にのみ行われるようにします。
2. API 応答から平文パスワードの露出を排除し、サーバー側では安全なハッシュのみを保存・検証します。
3. すべての API エンドポイントで適切な認証を強制し、Basic 形式の認証情報をフォールバックとして受け入れないようにします。
4. Telnet およびその他の保守サービスを無効にするか制限します。
5. レート制限、アカウントロックアウト、異常な API アクセス監視を適用します。
6. thttpd/Web サーバーの設定を強化し、機密性の高いエンドポイントが公開されないようにします。

---

証拠アーカイブ

• ファイル: Vatilon_vulnerability_evidence_2025.zip
• SHA256: 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04
  (完全なアーカイブはここには公開されていません。アクセス要求は承認された関係者のみ受け付けます。)

---

参考文献

• NVD エントリ
• CVE.org エントリ