CVE-2025-45619

Сведения об уязвимости

Модель камеры PTC310UV2 с версией прошивки 0.1.0000.59. Уязвимость обнаружена в веб-интерфейсе, используемом для доступа к камере. Уязвимость была обнаружена в ходе теста на проникновение, поэтому некоторая информация на скриншотах PoC была скрыта.

Описание

Это раскрытие содержит две уязвимости, которые были обнаружены в веб-интерфейсе входа в прошивку AVer. Следует отметить, что я не очень хорошо знаком с вашими продуктами, поэтому некоторые термины могут быть использованы некорректно. CVE-2025-45619 — первая из двух уязвимостей, обнаруженных в ходе этого исследования. Вторую уязвимость можно найти здесь: https://github.com/weedl/CVE-2025-45620/tree/main

CVE-2025-45619 относится к открытым конечным точкам хоста. Одна из этих конечных точек раскрывает действительные учетные данные для входа администратора устройства. Точнее, конечная точка, найденная по адресу «https://[ipaddr]/action?get=acc», раскрывает действительные учетные данные в тестируемой версии. На приложенном скриншоте показана эта проблема:

Эти учетные данные не должны храниться на открытой конечной точке, более того, они не должны храниться в открытом виде. Возможно, на этих конечных точках хранятся и другие конфиденциальные данные, однако в ходе данного исследования они не оценивались. Я бы порекомендовал всем, у кого в окружении есть такие системы, проверить конечные точки и рассмотреть возможность ограничения доступа к ним.