CVE-2024-35343

Krytyczne

Opublikowano: 28/05/2024(UTC)Przetłumaczono: 30/05/2026(UTC)NVD NIST

Streszczenie

Niektóre produkty Anpviz pozwalają nieautoryzowanym użytkownikom na pobieranie dowolnych plików z systemu plików urządzenia za pomocą żądania HTTP GET do URI /playback/. Dotyczy to kamer IP z firmwarem w wersji 3.2.2.2 i niższej.

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do ujawnienia wrażliwych danych przechowywanych na urządzeniu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację firmware'u kamer IP do najnowszej wersji oraz ograniczenie dostępu do interfejsu HTTP tylko dla autoryzowanych użytkowników.

Oryginalny opis (angielski, źródło NVD)

Certain Anpviz products allow unauthenticated users to download arbitrary files from the device's filesystem via a HTTP GET request to the /playback/ URI. This affects IPC-D250, IPC-D260, IPC-B850, IPC-D850, IPC-D350, IPC-D3150, IPC-D4250, IPC-D380, IPC-D880, IPC-D280, IPC-D3180, MC800N, YM500L, YM800N_N2, YMF50B, YM800SV2, YM500L8, and YM200E10 (IP Cameras) firmware v3.2.2.2 and lower and possibly more vendors/models of IP camera.