CVE-2017-3185

ACTi Camera Firmware — dane uwierzytelniające w żądaniach GET

CVSS 9.8v3.0pub. 2017-12-16upd. 2026-05-13

Kamery ACTi serii D, B, I i E z firmware A1D-500-V6.11.31-AC przesyłają nazwę użytkownika i hasło jako parametry metody GET zamiast POST, co naraża te dane na nieuprawnione ujawnienie. Podatność uzyskała ocenę krytyczną (CVSS 9.8), ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika po stronie atakującego.

▸ Pokaż oryginał (EN)

ACTi cameras including the D, B, I, and E series using firmware version A1D-500-V6.11.31-AC have a web application that uses the GET method to process requests that contain sensitive information such as user account name and password, which can expose that information through the browser's history, referrers, web logs, and other sources.

🤖 Analiza AI

Jak działa

Aplikacja webowa wbudowana w firmware kamery obsługuje żądania logowania i inne operacje wymagające poświadczeń z użyciem metody HTTP GET. Oznacza to, że login i hasło są dołączane bezpośrednio do adresu URL (query string). Takie dane trafiają do historii przeglądarki, nagłówków Referer wysyłanych do zewnętrznych zasobów, logów serwera WWW oraz systemów proxy i monitoringu ruchu sieciowego, skąd mogą zostać odczytane przez nieuprawnione osoby.

Skutki

Atakujący uzyskujący dostęp do logów serwera, historii przeglądarki, ruchu sieciowego lub nagłówków Referer może pozyskać dane uwierzytelniające (login i hasło) do kamery, co może prowadzić do pełnego przejęcia kontroli nad urządzeniem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako doraźne zabezpieczenie zaleca się izolację kamer od publicznej sieci (umieszczenie za firewall), ograniczenie dostępu do interfejsu webowego wyłącznie do zaufanych hostów oraz monitorowanie logów dostępowych pod kątem nieautoryzowanych połączeń.

Kogo dotyczy

Kamery ACTi serii D, B, I oraz E wyposażone w firmware w wersji A1D-500-V6.11.31-AC

Uwagi

Podatność opisana w bazie CERT/CC (VU#355141). Informacje o podatności były publicznie dyskutowane na Twitterze w marcu 2017 r. (wzmianki w referencjach), co zwiększa ryzyko jej wykorzystania.