問題の詳細
カメラモデル PTC310UV2、ファームウェアバージョン 0.1.0000.59。この脆弱性は、カメラにアクセスするために使用されるWebインターフェースに存在します。この脆弱性はペネトレーションテスト中に発見されたため、PoCスクリーンショットの一部の情報は伏せられています。
説明
本開示には、AVerファームウェアのログインWebインターフェースで特定された2つの脆弱性が含まれています。なお、私は御社の製品にあまり詳しくないため、一部の用語が正しく使用されていない可能性があることに留意してください。CVE-2025-45619 は、この調査中に発見された2つの脆弱性のうちの1つ目です。2つ目の脆弱性はこちらにあります: https://github.com/weedl/CVE-2025-45620/tree/main
CVE-2025-45619 は、ホスト上のオープンなエンドポイントに関連します。そのうちの1つのエンドポイントは、デバイス上の管理者ユーザーの有効なログイン資格情報を公開します。より正確には、テストしたバージョンでは、「https://[ipaddr]/action?get=acc」にあるエンドポイントが有効なログイン資格情報を公開します。添付のスクリーンショットはこの問題を示しています:
これらの資格情報はオープンなエンドポイントに保存されるべきではなく、さらに平文で保存されるべきでもありません。これらのエンドポイントには他の機密データが保存されている可能性がありますが、本調査では評価されていません。これらのシステムを環境内に持つすべての人に対し、エンドポイントを確認し、それらへのアクセスを制限することを検討することをお勧めします。
