IP Camera Research - Fullhan FH8626V100 (AJL30PG0803)

针对基于 Fullhan FH8626V100 SoC（型号 AJL30PG0803）的消费级 IP 摄像头进行的安全研究，共分配了六个 CVE，涵盖未认证 API 访问、明文凭据泄露以及通过操作系统命令注入实现完全未认证的设备接管。

完整报告：Breaking Into My Own IP Camera

设备概览

该固件/SoC 组合被许多不同品牌的消费级 IP 摄像头复用，因此受影响范围远不止单一产品。

CVE 摘要

利用链

1. 未认证查询 /PSIA/Security/AAA/users 以获取明文管理员凭据（CVE-2026-51406），或直接跳到第 2 步。
2. 向 TCP/1300 发送精心构造的 <SYSTEM>...</SYSTEM> 载荷，执行重置 root 账户密码的命令（CVE-2026-51402）。
3. 使用新的 root 凭据认证到始终开启的 BusyBox telnetd（端口 23），获得完整的交互式 root shell（CVE-2026-51405）。
4. 从 shell 中提取 /app/userdata/ifcfg.wlan0 获取 Wi-Fi 凭据，和/或进一步横向渗透到本地网络（CVE-2026-51407）。 除最后一步 Telnet 登录外，每个步骤单独都不需要认证，而该登录可通过第 2 步中攻击者自行重置的密码轻松满足，这意味着从网络访问到 root shell 的完整链条在任何环节都不需要有效凭据。

仓库结构

.
├── README.md
├── advisory/
│   └── fullhan-ipcam-advisory.txt   # Exploit-DB 风格公告 + PoC
├── poc/
│   ├── command_payloads.txt         # 有趣的滥用命令（播放音频、重启摄像头）
│   ├── data_extraction.py           # 未认证读取 PoC（用户、设备信息、快照）
│   └── full_chain.py                # RCE -> root 密码重置 -> telnet shell 链条
├── metasploit/
│   ├── command_payloads.txt         # 有趣的滥用命令（播放音频、重启摄像头）
│   ├── data_extraction.py           # 未认证读取 PoC（用户、设备信息、快照）
│   └── full_chain.py                # RCE -> root 密码重置 -> telnet shell 链条

影响

位于本地网络或相邻网段的攻击者（或如果设备被端口转发暴露于互联网）可以在无需任何有效凭据的情况下获得设备的完全 root 访问权限、查看实时摄像头画面、窃取受害者的 Wi-Fi 凭据，并将被攻陷的设备作为跳板渗透受害者的内部网络。

披露时间线

负责任使用

本研究针对作者自有的设备进行。本仓库中的代码仅用于防御性研究、检测工程和授权测试。请勿将其用于非您所有或未经明确授权测试的设备。

致谢

发现并报告者：Amir Aliu

许可证

可自由用于个人研究、教育和授权安全测试。未经书面许可，禁止商业使用、转售或作为付费产品/服务的一部分进行再分发。