CVE-2025-67160 — IP-камеры на базе Vatilon

Сводка

Прошивка IP-камер на базе Vatilon открывает доступ к нескольким внутренним веб-каталогам без необходимости аутентификации. Если на встроенном веб-сервере включён листинг каталогов, неаутентифицированные злоумышленники могут получить доступ к таким каталогам, как /cgi-bin/, /view/, /css/, /img/, /img2/, /js/, /js2/ и /onvif/, что раскрывает внутренние скрипты, страницы конфигурации и чувствительные детали реализации.

Такая открытость позволяет злоумышленникам изучать внутреннюю структуру веб-интерфейса и может усиливать воздействие других уязвимостей, таких как обход аутентификации или несанкционированный доступ к конфигурации.

Тип уязвимости: Неправильный контроль доступа
Воздействие: Удалённое раскрытие информации
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Затронутые устройства (выявленные)

Другие модели, использующие ту же прошивку Vatilon, также могут быть затронуты.

---

Уведомление о неразглашении Proof-of-Concept

Детали воспроизведения и исходные доказательства не публикуются в открытом доступе из-за возможности злоупотребления. Авторизованные стороны (вендоры, CERT, CNA) могут запросить дополнительные технические детали после проверки.

---

Дополнительные наблюдения

• Встроенный веб-сервер позволяет выполнять листинг каталогов без аутентификации по нескольким путям верхнего уровня, включая /view/, /cgi-bin/, /css/, /img/, /img2/, /js/, /js2/ и /onvif/.
• Эти каталоги содержат HTML-, JavaScript- и CGI-компоненты, предназначенные для доступа только после успешной аутентификации.
• Открытые фронтенд-скрипты раскрывают чувствительные детали реализации, такие как внутренние API-эндпоинты и обязательные параметры запросов.
• Некоторые клиентские скрипты встраивают поля username и password в логику API-запросов.
• Загрузка таких страниц, как /view/player.html, напрямую через открытые каталоги может привести к тому, что браузер будет отправлять API-запросы, содержащие учётные данные в открытом виде, в сетевом трафике.
• Поскольку эти ресурсы доступны без действующей сессии входа, злоумышленники могут наблюдать и воспроизводить поведение внутреннего API, включая несанкционированные запросы к .

---

Воздействие

• Раскрытие внутренней структуры веб-приложения и расположения ресурсов.
• Раскрытие API-эндпоинтов и вариантов использования параметров, не предназначенных для неаутентифицированных пользователей.
• Повышенная вероятность вторичной эксплуатации, включая обход аутентификации и несанкционированный доступ к конфигурации при сочетании с другими недостатками.
• Проблема полностью воспроизводится через стандартный веб-браузер без взаимодействия с пользователем.

---

Смягчение / Рекомендации

1. Отключите листинг каталогов на встроенном веб-сервере.
2. Выполняйте проверки аутентификации перед предоставлением доступа к внутренним каталогам и статическим ресурсам.
3. Ограничьте доступ к CGI-обработчикам и интерфейсам управления.
4. Удалите чувствительную информацию и учётные данные из клиентских скриптов.
5. Устанавливайте обновления прошивки, предоставляемые вендором, по мере их появления.
6. Отслеживайте журналы веб-сервера на предмет подозрительных попыток доступа к каталогам.

---

Ссылки

• Запись NVD
• Запись CVE.org

---

Резюме

В прошивке IP-камер на базе Vatilon выявлена уязвимость, позволяющая получать доступ к внутренним веб-каталогам без аутентификации.
Злоумышленник может напрямую просматривать такие каталоги, как /cgi-bin/, /view/, /css/, /js/, /img/, /onvif/, и через них получать доступ к внутренней структуре, API-эндпоинтам, параметрам запросов и другим чувствительным деталям реализации.

Эта уязвимость сама по себе не приводит к изменению конфигурации или выполнению кода, однако при сочетании с другими уязвимостями, такими как обход аутентификации, она может значительно повысить эффективность атак.

Тип уязвимости: Неправильный контроль доступа
Воздействие: Удалённое раскрытие информации
CVSS v3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

Затронутые устройства (подтверждённые случаи)

---

Уведомление о неразглашении Proof-of-Concept (материалов воспроизведения)

Процедуры воспроизведения и исходные доказательства не публикуются из-за риска злоупотребления.
Уполномоченные организации (вендоры, CERT, CNA) могут запросить дополнительные технические сведения после проверки.

---

Дополнительные наблюдения

• Эта уязвимость в первую очередь связана со сбором информации вследствие раскрытия внутренних ресурсов.
• Риск возрастает скорее при сочетании с другими уязвимостями, чем при использовании в одиночку.

---

Воздействие

• Раскрытие внутренних веб-ресурсов и информации о структуре.
• Расширение поверхности атаки.
• Повышение вероятности вторичных атак.

---

Рекомендации по смягчению

1. Отключите индексацию каталогов.
2. Блокируйте доступ к ресурсам без аутентификации.
3. Не открывайте внешний доступ к административным веб-ресурсам.
4. Устанавливайте обновления безопасности, предоставляемые вендором.
5. Отслеживайте подозрительные попытки доступа к каталогам.