Pesquisa em Câmera IP - Fullhan FH8626V100 (AJL30PG0803)

Pesquisa de segurança em uma câmera IP de consumo baseada no SoC Fullhan FH8626V100 (modelo AJL30PG0803), resultando em seis CVEs atribuídas cobrindo acesso não autenticado à API, divulgação de credenciais em texto puro e comprometimento total não autenticado do dispositivo via injeção de comandos no sistema operacional.

Artigo completo: Breaking Into My Own IP Camera

Visão Geral do Dispositivo

Esta combinação de firmware/SoC é reutilizada em muitas câmeras IP de consumo de diferentes marcas, portanto a superfície afetada é mais ampla do que uma única listagem de produto.

Resumo das CVEs

Cadeia de Exploração

1. Consultar /PSIA/Security/AAA/users sem autenticação para recuperar credenciais de administrador em texto puro (CVE-2026-51406), ou pular direto para o passo 2.
2. Enviar um payload <SYSTEM>...</SYSTEM> elaborado para TCP/1300 para executar um comando que redefine a senha da conta root (CVE-2026-51402).
3. Autenticar no telnetd BusyBox sempre ativo (porta 23) com as novas credenciais root para obter um shell root interativo completo (CVE-2026-51405).
4. A partir do shell, coletar /app/userdata/ifcfg.wlan0 para credenciais Wi-Fi e/ou avançar para outras partes da rede local (CVE-2026-51407). Cada passo individualmente não requer autenticação, exceto o login Telnet final, que é trivialmente satisfeito pela própria redefinição de senha do atacante no passo 2, o que significa que a cadeia completa, do acesso à rede ao shell root, não requer credenciais válidas em nenhum ponto.

Estrutura do Repositório

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Advisory estilo Exploit-DB + PoC
├── poc/
│   ├── command_payloads.txt         # Comandos de abuso divertidos (tocar áudio, reiniciar câmera)
│   ├── data_extraction.py           # PoC de leitura sem autenticação (usuários, informações do dispositivo, snapshot)
│   └── full_chain.py                # Cadeia RCE -> redefinição de senha root -> shell telnet
├── metasploit/
│   ├── command_payloads.txt         # Comandos de abuso divertidos (tocar áudio, reiniciar câmera)
│   ├── data_extraction.py           # PoC de leitura sem autenticação (usuários, informações do dispositivo, snapshot)
│   └── full_chain.py                # Cadeia RCE -> redefinição de senha root -> shell telnet

Impacto

Um atacante na rede local ou em segmento adjacente (ou com exposição à internet, se o dispositivo tiver portas encaminhadas) pode obter acesso root completo ao dispositivo, visualizar o feed ao vivo da câmera, exfiltrar as credenciais Wi-Fi da vítima e usar o dispositivo comprometido como ponto de pivô para a rede interna da vítima — tudo sem precisar de credenciais válidas.

Cronograma de Divulgação

Uso Responsável

Esta pesquisa foi conduzida contra um dispositivo de propriedade do autor. O código neste repositório é fornecido apenas para pesquisa defensiva, engenharia de detecção e testes autorizados. Não o utilize contra dispositivos que você não possui ou para os quais não possui autorização explícita para testar.

Créditos

Descoberto e relatado por Amir Aliu

Licença

Livre para uso em pesquisa pessoal, educação e testes de segurança autorizados. Uso comercial, revenda ou redistribuição como parte de um produto/serviço pago não é permitido sem permissão por escrito.