CVE-2025-67160 — 基于Vatilon的IP摄像头

概述

基于Vatilon的IP摄像头固件暴露了多个内部Web目录，无需身份验证即可访问。当嵌入式Web服务器启用了目录索引时，未认证的攻击者可以访问如/cgi-bin/、/view/、/css/、/img/、/img2/、/js/、/js2/和/onvif/等目录，从而泄露内部脚本、配置页面和敏感的实现细节。

这种暴露使攻击者能够研究Web界面的内部结构，并可能加剧其他漏洞（如认证绕过或未授权配置访问）的影响。

漏洞类型： 不正确的访问控制
影响： 远程信息泄露
CVSS v3.1： 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

受影响设备（已观察）

使用相同Vatilon固件的其他型号也可能受影响。

---

概念验证披露说明

由于潜在的滥用风险，复现细节和原始证据暂不公开披露。授权方（厂商、CERT、CNA）可在验证后请求获取更多技术细节。

---

其他观察

• 嵌入式Web服务器在多个顶级路径上允许未认证的目录列表，包括/view/、/cgi-bin/、/css/、/img/、/img2/、/js/、/js2/和/onvif/。
• 这些目录包含HTML、JavaScript和CGI组件，本应仅在成功认证后才可访问。
• 暴露的前端脚本泄露了敏感的实现细节，如内部API端点及所需的请求参数。
• 多个客户端脚本将username和password字段嵌入到API请求逻辑中。
• 直接通过暴露的目录加载如/view/player.html等页面，可能导致浏览器在网络流量中发出包含明文凭证值的API请求。
• 由于这些资源无需有效登录会话即可访问，攻击者可以观察并复制内部API行为，包括对/cgi-bin/web.cgi的未授权请求。

---

影响

• 泄露内部Web应用结构和资源布局。
• 暴露的API端点和参数使用方式不适用于未认证用户。
• 增加了二次利用的可能性，包括与其他缺陷结合时的认证绕过和未授权配置访问。
• 该问题可通过标准Web浏览器完全复现，无需用户交互。

---

缓解措施/建议

1. 禁用嵌入式Web服务器上的目录索引。
2. 在提供内部目录和静态资源前强制执行身份验证检查。
3. 限制对CGI处理程序和管理接口的访问。
4. 从客户端脚本中移除敏感信息和凭证。
5. 在可用时应用厂商提供的固件更新。
6. 监控Web服务器日志中的异常目录访问尝试。

---

参考资料

• NVD条目
• CVE.org条目

---

概述

基于Vatilon的IP摄像头固件中存在无需认证即可访问内部Web目录的漏洞。攻击者可以直接查看/cgi-bin/、/view/、/css/、/js/、/img/、/onvif/等目录，从而获取内部结构、API端点、请求参数等敏感实现信息。

该漏洞本身不会导致配置更改或代码执行，但与其他漏洞（如认证绕过）结合使用时，会显著提高攻击效率。

漏洞类型： 错误的访问控制
影响： 远程信息泄露
CVSS v3.1： 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

---

受影响设备（已确认案例）

---

概念证明（复现材料）不公开说明

复现步骤和原始证据因存在滥用风险而不予公开。厂商、CERT、CNA等授权机构可在验证后请求获取更多技术细节。

---

其他观察事项

• 本漏洞具有较强的内部资源泄露信息收集性质。
• 单独利用风险较低，但与其他漏洞联动时危险性增加。

---

影响

• 内部Web资源及结构信息泄露
• 攻击面扩大
• 二次攻击可能性增加

---

缓解建议

1. 禁用目录索引。
2. 阻止未认证的资源访问。
3. 不要将管理用Web资源暴露在外部。
4. 应用厂商提供的安全更新。
5. 监控异常的目录访问尝试。