CVE-2017-3186

ACTi Camera Firmware — nielosowe domyślne dane uwierzytelniające

CVSS 9.8v3.0pub. 2017-12-16upd. 2026-05-13

Kamery ACTi z serii D, B, I i E używające firmware w wersji A1D-500-V6.11.31-AC posiadają identyczne, z góry znane dane logowania na wszystkich urządzeniach. Zdalny atakujący bez żadnego uwierzytelnienia może przejąć pełną kontrolę nad urządzeniem.

▸ Pokaż oryginał (EN)

ACTi cameras including the D, B, I, and E series using firmware version A1D-500-V6.11.31-AC use non-random default credentials across all devices. A remote attacker can take complete control of a device using default admin credentials.

🤖 Analiza AI

Jak działa

Podatność wynika z zastosowania tych samych, nielosowych domyślnych danych uwierzytelniających (login i hasło administratora) na wszystkich urządzeniach z danej linii produktowej (CWE-798 — zakodowane na stałe dane logowania, CWE-521 — słaba polityka haseł). Ponieważ producent nie wymusza zmiany hasła podczas pierwszego uruchomienia ani nie generuje unikalnych danych uwierzytelniających dla każdego egzemplarza, atakujący znający domyślne hasło może uzyskać pełny dostęp administracyjny do dowolnego urządzenia. Atak jest możliwy zdalnie przez sieć, bez żadnej interakcji użytkownika i bez konieczności posiadania wcześniejszych uprawnień.

Skutki

Atakujący może przejąć pełną kontrolę nad kamerą z uprawnieniami administratora, co umożliwia podgląd lub manipulację obrazem, rekonfigurację urządzenia, a także wykorzystanie go jako punktu wejścia do sieci wewnętrznej.

Mitygacja

Należy niezwłocznie zmienić domyślne dane uwierzytelniające administratora na silne, unikalne hasła. Zaleca się również zastosowanie patchy dostępnych u producenta zgodnie z referencjami (CERT/CC VU#355151) oraz ograniczenie dostępu do interfejsu zarządzania kamerami wyłącznie do zaufanych sieci lub przez VPN.

Kogo dotyczy

Kamery ACTi z serii D, B, I oraz E wyposażone w firmware w wersji A1D-500-V6.11.31-AC.

Uwagi

Podatność została zgłoszona w bazie CERT/CC pod numerem VU#355151. Informacje o podatności były publicznie udostępniane na platformie Twitter, co zwiększa ryzyko wykorzystania przez nieuprawnione osoby.