CVE-2024-26548

RCE w Vivotek Network Camera poprzez komponent upload_file.cgi

CVSS 9.8v3.1pub. 2024-02-29upd. 2025-05-13

Podatność w kamerze sieciowej Vivotek FD8166A umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Ze względu na sieciowy charakter ataku i krytyczny wynik CVSS 9.8, stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury.

▸ Pokaż oryginał (EN)

An issue in vivotek Network Camera v.FD8166A-VVTK-0204j allows a remote attacker to execute arbitrary code via a crafted payload to the upload_file.cgi component.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowany payload do komponentu upload_file.cgi dostępnego na urządzeniu. Komponent ten nie waliduje prawidłowo przesyłanych danych, co pozwala na wykonanie dowolnego kodu po stronie urządzenia. Atak może być przeprowadzony zdalnie, bez konieczności posiadania jakichkolwiek poświadczeń dostępu.

Skutki

Atakujący może uzyskać pełną kontrolę nad urządzeniem, wykonując dowolny kod z jego poziomu. Skutkiem może być naruszenie poufności i integralności danych oraz całkowita utrata dostępności kamery.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie dostępu sieciowego do interfejsu zarządzania kamerą poprzez firewall lub segmentację sieci, aby zminimalizować ekspozycję na potencjalnych atakujących.

Kogo dotyczy

Vivotek Network Camera FD8166A z oprogramowaniem sprzętowym w wersji VVTK-0204j

Uwagi

Analiza podatności wraz z dowodem koncepcji została opublikowana w repozytorium GitHub użytkownika cwh031600. Opis w repozytorium sugeruje możliwość wywołania stanu DoS jako dodatkowy skutek ataku.