CVE-2025-63667 — Vatilon 系列 IP 摄像头漏洞证据（脱敏版）

摘要

多款基于 Vatilon 的 IP 摄像头（已观测到的品牌：SIMICAM、KEVIEW、ASECAM）在未验证凭据正确性的情况下发放 Session-Id 令牌。此缺陷允许未经身份验证的攻击者获取有效会话，并通过暴露的 API 端点访问管理员数据，例如明文账户凭据。

漏洞类型： 访问控制不当 / 身份验证不当
影响： 远程信息泄露、权限提升
CVSS v3.1： 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）

---

受影响设备（已观测）

---

概念验证（PoC）披露说明

由于存在较高的被滥用风险，重现细节及原始证据（PoC 脚本、PCAP、设备输出）暂不公开披露。授权方（供应商、CERT、CNA）可在验证后申请访问完整证据存档。
证据存档： Vatilon_vulnerability_evidence_2025.zip
SHA256： 235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04

---

其他观察

• 固件在 TCP 端口 2360 上暴露 Telnet 服务，可能用于维护/调试。
• Web 界面显示使用 Digest 身份验证，但 /cgi-bin/web.cgi?mod=session&cmd=login1 端点接受 Basic 样式的凭据，并且无论凭据是否有效都会发放 Session-Id 令牌。
• 账户列表端点可能返回明文 pwd 字段。

---

影响

• 在未正确验证的情况下发放会话令牌，允许对设备 API 进行未授权访问。
• 账户列表端点返回明文密码，可导致账户接管和配置更改。
• 暴露的维护服务增加了远程入侵的攻击面。

---

缓解措施 / 建议

1. 在发放会话令牌之前验证凭据；确保仅在成功身份验证后发放 Session-Id。
2. 从 API 响应中移除明文密码暴露；仅在服务器端存储和验证安全哈希。
3. 对所有 API 端点强制执行正确的身份验证，并停止接受 Basic 样式凭据作为回退。
4. 禁用或限制 telnet 及其他维护服务。
5. 实施速率限制、账户锁定和对异常 API 访问的监控。
6. 强化 thttpd/Web 服务器配置，避免将敏感端点暴露在公网。

---

证据存档

• 文件：Vatilon_vulnerability_evidence_2025.zip
• SHA256：235ad5c37c700b9a19851f9a3f5fb7c8afb6c92a501cd8d99d94d6d1859fbd04 （完整存档不在此处发布。访问请求需经授权。）

---

参考资料

• NVD 条目
• CVE.org 条目