CVE-2025-70962

Использование жестко заданных учетных данных в RTSP-сервисе IP-камеры ZOSI C519M

Краткое описание

Камера ZOSI C519M поставляется с жестко заданной парой учетных данных RTSP (admin:admin), хранящейся в открытом виде в /app/config.xml в файловой системе устройства, что подтверждено для прошивки V4.2.8.832C01450BA. RTSP-сервис на TCP/554 принимает эти учетные данные, а путь к видеопотоку также фиксирован (/video1); оба значения извлекаются из строк в бинарном файле IPC. Таким образом, любой удаленный злоумышленник, имеющий доступ к TCP/554, может пройти аутентификацию и получить доступ к прямой видеотрансляции без какого-либо взаимодействия с владельцем.

Производитель предоставляет функцию «защитного пароля» в приложении Zosi Smart, однако она перезаписывает только учетные данные учетной записи user. Учетные данные admin остаются без изменений (admin:admin), и устройство не предоставляет интерфейса, через который владелец мог бы их изменить или отключить. Учетные данные встроены в образ прошивки, а не генерируются при первой загрузке, поэтому каждое устройство под управлением V4.2.8.832C01450BA содержит одинаковые значения admin.

Воздействие

Неаутентифицированное удаленное раскрытие прямой видеотрансляции камеры — полная потеря конфиденциальности всего, что наблюдает камера. Не требуется ни взаимодействия с пользователем, ни каких-либо привилегий; достаточно лишь сетевой доступности TCP/554.

Оценка ограничена конфиденциальностью, поскольку продемонстрированный путь доступа доступен только для чтения: RTSP-сервис передает видеопоток и не предоставляет возможностей настройки или управления, поэтому жестко заданные учетные данные сами по себе не позволяют изменять параметры устройства или нарушать его работу. Отсюда C:H/I:N/A:N, а не оценка полного захвата устройства. Перечень других сервисов на устройстве не был исчерпывающим; если те же учетные данные принимаются другим интерфейсом, реальное воздействие может превысить указанную здесь оценку.

О векторе атаки. Для извлечения учетных данных потребовался одноразовый физический доступ к одному устройству через UART. Для эксплуатации уязвимости это не требуется. Одна и та же пара admin:admin присутствует на каждом устройстве под управлением этой прошивки и теперь стала общедоступной, поэтому любому последующему злоумышленнику достаточно лишь сетевой доступности TCP/554 к любой затронутой камере. Физический этап относится к обнаружению, которое уже произошло и не является барьером, который злоумышленнику пришлось бы преодолевать повторно. Таким образом, вектор атаки — сетевой (AV:N), а не физический.

Анализ

Прошивка была получена через консоль UART, доступную на плате устройства; бинарный файл IPC и /app/config.xml были извлечены из полученного образа. Этот одноразовый физический шаг требовался только для обнаружения учетных данных — см. раздел «Воздействие» о том, почему он не влияет на вектор атаки самой уязвимости.

1. Проверка порта

• На ZOSI C519M был открыт порт 554. Порт 554 — стандартный порт для RTSP (Real Time Streaming Protocol).

2. Поиск конфигурации RTSP

• С помощью IDA Pro я извлек и подверг реверс-инжинирингу бинарный файл IPC этого продукта, где функция Rtspserver_Init() инициализирует RTSP-сервис.

• Эта функция содержит жестко заданный путь к файлу конфигурации RTSP.

• Жестко заданный URL RTSP-сервиса потоковой передачи также извлекается из строк в полученном бинарном файле IPC.

• Наконец, сами жестко заданные учетные данные хранятся в открытом виде в /app/config.xml.

3. Смена учетных данных не затрагивает учетную запись admin

ZOSI документирует функцию защитного пароля для этой модели, устанавливаемую через приложение Zosi Smart. Ее установка не устраняет проблему: после настройки защитного пароля на стороне приложения и повторного чтения /app/config.xml были перезаписаны только учетные данные учетной записи user. Запись admin осталась admin:admin на прошивке V4.2.8.832C01450BA.

Следовательно, не существует доступного владельцу механизма для изменения или отключения учетных данных admin. Любые рекомендации, предписывающие пользователям устанавливать пароль в приложении, не устраняют эту уязвимость.

Доказательство концепции

ffplay -rtsp_transport tcp rtsp://admin:admin@$IP_ADDRESS:554/video1

Успешный запуск отображает прямую видеотрансляцию устройства без запроса учетных данных и без одобрения со стороны владельца.

Демонстрация

Нажмите на миниатюру, чтобы посмотреть записанную эксплуатацию на YouTube.

Хронология раскрытия

Меры по смягчению

По состоянию на 2026-08-05 исправление от производителя отсутствует, и владелец устройства не может изменить учетные данные admin. До выпуска исправления:

• Заблокируйте входящий TCP/554 к камере на сетевой периферии.
• Разместите камеру в сегментированной VLAN без входящего маршрута из ненадежных сетей и подключайтесь к ней через VPN, а не через проброс портов.
• Удалите любые существующие правила проброса портов для TCP/554 и отключите UPnP на периферийном маршрутизаторе, чтобы устройство не могло создать такое правило самостоятельно.

Установка защитного пароля в приложении Zosi Smart не является мерой по смягчению по причине, указанной в разделе «Анализ» §3.

Корректное исправление от производителя требует назначения учетных данных admin для каждого устройства при первой загрузке или отказа от RTSP-подключений до тех пор, пока владелец не задаст учетные данные, — а не замены одного жестко заданного значения другим.

Ссылки

• Техническое описание и PoC: https://github.com/namaek2/CVE-2025-70962
• Демонстрационное видео: https://youtu.be/fOgHo1jF8fQ
• Запись CVE: https://www.cve.org/CVERecord?id=CVE-2025-70962
• Страница продукта производителя: https://eu.zositech.com/products/c519m-4k-indoor-wifi-pt-camera
• Центр поддержки производителя для этой модели: https://supports.zositech.com/hc/en-us/categories/28435104244121-C519M
• Загрузки прошивок производителя: https://supports.zositech.com/hc/en-us/sections/34475932007577-Firmware-Downloads
• Связанная уязвимость того же класса с идентичным вектором CVSS: CVE-2025-65857 (IP-камеры Xiongmai XM530) — https://www.cve.org/CVERecord?id=CVE-2025-65857

Примечание о тестировании

Все тестирование проводилось на устройстве, принадлежащем автору, в изолированной сети. Данное уведомление публикуется, чтобы владельцы и операторы затронутого продукта могли оценить и смягчить свои риски. Доступ к камере, которая вам не принадлежит или на тестирование которой у вас нет письменного разрешения, является незаконным в большинстве юрисдикций.