IP Camera Research - Fullhan FH8626V100 (AJL30PG0803)

Исследование безопасности потребительской IP-камеры на базе SoC Fullhan FH8626V100 (модель AJL30PG0803), в результате которого было присвоено шесть CVE, охватывающих неаутентифицированный доступ к API, раскрытие учётных данных в открытом виде и полный неаутентифицированный захват устройства через инъекцию OS-команд.

Полный отчёт: Breaking Into My Own IP Camera

Обзор устройства

Эта комбинация прошивки/SoC используется во многих потребительских IP-камерах разных брендов, поэтому затронутая поверхность шире, чем один конкретный продукт.

Сводка CVE

Цепочка эксплуатации

1. Выполните неаутентифицированный запрос к /PSIA/Security/AAA/users для получения учётных данных администратора в открытом виде (CVE-2026-51406) или переходите сразу к шагу 2.
2. Отправьте сформированный payload <SYSTEM>...</SYSTEM> на TCP/1300 для выполнения команды, сбрасывающей пароль учётной записи root (CVE-2026-51402).
3. Аутентифицируйтесь на постоянно включённом BusyBox telnetd (порт 23) с новыми root-учётными данными для получения полного интерактивного root-шелла (CVE-2026-51405).
4. Из шелла извлеките /app/userdata/ifcfg.wlan0 для получения учётных данных Wi-Fi и/или используйте устройство как точку входа в локальную сеть (CVE-2026-51407). Каждый шаг по отдельности не требует аутентификации, за исключением финального входа в Telnet, который тривиально обеспечивается собственным сбросом пароля атакующего на шаге 2. Это означает, что полная цепочка от доступа к сети до root-шелла не требует действительных учётных данных ни на одном этапе.

Структура репозитория

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Advisory в стиле Exploit-DB + PoC
├── poc/
│   ├── command_payloads.txt         # Забавные команды для злоупотребления (воспроизведение аудио, перезагрузка камеры)
│   ├── data_extraction.py           # PoC неаутентифицированного чтения (пользователи, информация об устройстве, снимки)
│   └── full_chain.py                # Цепочка RCE -> сброс root-пароля -> telnet-шелл
├── metasploit/
│   ├── command_payloads.txt         # Забавные команды для злоупотребления (воспроизведение аудио, перезагрузка камеры)
│   ├── data_extraction.py           # PoC неаутентифицированного чтения (пользователи, информация об устройстве, снимки)
│   └── full_chain.py                # Цепочка RCE -> сброс root-пароля -> telnet-шелл

Влияние

Атакующий в локальной сети или смежном сегменте (или при наличии доступа из интернета, если устройство проброшено через порты) может получить полный root-доступ к устройству, просматривать живой видеопоток камеры, похитить учётные данные Wi-Fi жертвы и использовать скомпрометированное устройство как точку входа во внутреннюю сеть жертвы — всё это без необходимости в действительных учётных данных.

График раскрытия

Ответственное использование

Данное исследование проводилось на устройстве, принадлежащем автору. Код в этом репозитории предоставлен только для оборонительных исследований, разработки механизмов обнаружения и авторизованного тестирования. Не используйте его против устройств, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения.

Авторы

Обнаружено и сообщено Amir Aliu

Лицензия

Свободно для использования в личных исследованиях, образовании и авторизованном тестировании безопасности. Коммерческое использование, перепродажа или распространение в составе платного продукта/услуги не допускается без письменного разрешения.