CVE-2025-66050

Domyślna konfiguracja firmware umożliwia logowanie na konto administratora bez podawania jakiegokolwiek hasła. Choć interfejs pozwala na ustawienie hasła, użytkownik nie jest w żaden sposób informowany o tej potrzebie ani monitowany o jego skonfigurowanie. W rezultacie urządzenia wystawione na dostęp sieciowy pozostają niezabezpieczone, a atakujący z dostępem do sieci może uzyskać pełne uprawnienia administratorskie bez jakiejkolwiek autoryzacji.

Nieuwierzytelniony atakujący zdalnie uzyskuje pełny dostęp administracyjny do kamery, co umożliwia przejęcie kontroli nad urządzeniem, manipulację strumieniem wideo, zmianę konfiguracji lub wykorzystanie kamery jako punktu wejścia do dalszych działań w sieci.

Producent nie odpowiedział na zgłoszenie i nie planuje wydania poprawki ze względu na status End-of-Life produktu. Zaleca się natychmiastowe ręczne ustawienie silnego hasła administratora w interfejsie urządzenia, izolację kamer od sieci publicznej (np. za pomocą firewall lub dedykowanego segmentu VLAN), a docelowo wymianę urządzenia na wspierany model. Należy skonsultować się z referencjami producenta oraz publikacją CERT Polska.

Vivotek IP7137 z firmware w wersji 0200a; według opisu możliwe, że problem dotyczy wszystkich wersji firmware. Produkt osiągnął status End-of-Life.

Producent nie odpowiedział na zgłoszenie CNA. Produkt osiągnął fazę End-of-Life — naprawa nie zostanie wydana. Szczegóły techniczne opublikował CERT Polska pod adresem https://cert.pl/posts/2026/01/CVE-2025-66049.