CVE-2024-35343
CriticalSummary
Niektóre produkty Anpviz pozwalają nieautoryzowanym użytkownikom na pobieranie dowolnych plików z systemu plików urządzenia za pomocą żądania HTTP GET do URI /playback/. Dotyczy to kamer IP z firmwarem w wersji 3.2.2.2 i niższej.
Risk Assessment
Wykorzystanie tej podatności może prowadzić do ujawnienia wrażliwych danych przechowywanych na urządzeniu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Recommendation
Zaleca się aktualizację firmware'u kamer IP do najnowszej wersji oraz ograniczenie dostępu do interfejsu HTTP tylko dla autoryzowanych użytkowników.
Original NVD description (English source)
Certain Anpviz products allow unauthenticated users to download arbitrary files from the device's filesystem via a HTTP GET request to the /playback/ URI. This affects IPC-D250, IPC-D260, IPC-B850, IPC-D850, IPC-D350, IPC-D3150, IPC-D4250, IPC-D380, IPC-D880, IPC-D280, IPC-D3180, MC800N, YM500L, YM800N_N2, YMF50B, YM800SV2, YM500L8, and YM200E10 (IP Cameras) firmware v3.2.2.2 and lower and possibly more vendors/models of IP camera.