aziot-cctv-cve-2025-50777

CVE-2025-50777: AZIOTスマートCCTVにおけるルートアクセスと平文資格情報の露出

概要

AZIOT 2MP Full HD Smart Wi-Fi CCTV ホームセキュリティカメラ（ファームウェアバージョン V1.00.02）のファームウェアにおいて、ローカルアクセス制御の脆弱性（CVE-2025-50777）が特定されました。この欠陥により、物理的またはローカルネットワークアクセスを持つ攻撃者が不正なルートシェルアクセスを取得し、平文で保存された機密の資格情報を抽出することが可能になります。本脆弱性は、デバイスのファームウェアのセキュリティ評価中に発見されました。

---

CVE ID

CVE-2025-50777（現在はRESERVED）

---

影響を受ける製品

• ベンダー: AZIOT
• 製品: 2MP Full HD Smart Wi-Fi CCTV ホームセキュリティカメラ
• ファームウェアバージョン: V1.00.02
• ストレージ: 128GB、1チャンネル

---

脆弱性の詳細

ファームウェア解析およびUARTアクセステスト中に、以下の問題が特定されました：

• このデバイスは、安全でないブートローダーとinitスクリプトの設定ミスを利用して、UARTコンソール経由で起動時の認証を回避することを可能にします。
• ルートアクセスを取得すると、ファイルシステム上に機密の資格情報が平文で露出します。これには以下が含まれます：
  • Wi-Fi SSIDとパスワード
  • ONVIFサービスの認証資格情報

現在のファームウェアには、これらの資格情報を保護する暗号化、アクセス制御、または安全なストレージメカニズムは存在しません。

---

影響

---

推奨事項

ベンダーのパッチが提供されるまで、ユーザーには以下を推奨します：

• 異常なONVIFまたはRTSPアクティビティを監視する
• 使用していない場合はONVIFを無効化する
• 保存時および転送時におけるすべての機密データを暗号化する

---

発見者

Gadige Veeresh
組み込みセキュリティ研究者
LinkedIn

---

開示タイムライン

---

参照

• http://aziot.com – ベンダーのウェブサイト

---

法的注意事項

本開示は教育および研究目的のみを対象としています。著者は、本情報の不正使用について一切の責任を負いません。