weedl/cve-2025-45619CVE-2025-45619 취약점에 대한 개념 증명(PoC).
이슈 세부사항
카메라 모델 PTC310UV2, 펌웨어 버전 0.1.0000.59를 실행 중입니다. 취약점은 카메라에 접근하는 데 사용되는 웹 인터페이스에서 발견되었습니다. 이 취약점은 침투 테스트 중에 발견되었으므로, PoC 스크린샷의 일부 정보는 편집(redacted)되었습니다.
설명
이 공개 자료에는 AVer 펌웨어 로그인 웹 인터페이스에서 확인된 두 가지 취약점이 포함되어 있습니다. 저는 귀사의 제품에 대해 잘 알지 못하므로 일부 용어가 정확하게 사용되지 않을 수 있습니다. CVE-2025-45619는 이 조사에서 발견된 두 가지 취약점 중 첫 번째입니다. 두 번째 취약점은 다음 링크에서 확인할 수 있습니다: https://github.com/weedl/CVE-2025-45620/tree/main
CVE-2025-45619는 호스트의 공개 엔드포인트와 관련됩니다. 이 엔드포인트 중 하나는 장치의 관리자 사용자에 대한 유효한 로그인 자격 증명을 노출합니다. 더 정확히 말하면, 테스트된 버전에서 “https://[ipaddr]/action?get=acc”에 있는 엔드포인트가 유효한 로그인 자격 증명을 노출합니다. 첨부된 스크린샷은 해당 문제를 보여줍니다:
이러한 자격 증명은 공개 엔드포인트에 저장되어서는 안 되며, 더욱이 평문(plaintext)으로 저장되어서도 안 됩니다. 이러한 엔드포인트에 다른 민감한 데이터가 저장되어 있을 수 있지만, 이 조사에서는 평가되지 않았습니다. 해당 시스템을 사용하는 모든 사용자는 엔드포인트를 검토하고 접근을 제한하는 것을 고려해야 합니다.
