PTZOptics NDI and SDI Cameras /cgi-bin/param.cgi Insufficient Authentication

Câmeras PTZ PTZOptics PT30X-SDI/NDI não impõem autenticação ao endpoint /cgi-bin/param.cgi quando a requisição chega sem cabeçalho HTTP Authorization: o script simplesmente responde como se estivesse autenticado. Isso permite a um atacante remoto e não autenticado ler usuários, hashes MD5 de senha e toda a configuração do dispositivo, além de alterar ou sobrescrever essa configuração. A falha ganha peso extra porque é a porta de entrada usada em conjunto com CVE-2024-8957 (injeção de comando OS) para conseguir execução de código como root — o cenário que motivou a entrada no catálogo KEV da CISA.

O CGI /cgi-bin/param.cgi é o handler central de configuração das câmeras: por ele se lê e se grava parâmetros de rede, usuários, senhas (armazenadas como hash MD5) e demais ajustes do dispositivo. O problema (CWE-287, classificado pela CISA como falha de autenticação/IDOR e pela VulnCheck como Improper Authorization) está na checagem de autorização: se a requisição HTTP não traz o cabeçalho Authorization, o firmware não rejeita o pedido — trata como se o chamador já tivesse passado pelo controle de acesso.

Com isso, o atacante controla integralmente a requisição ao endpoint: pode fazer leitura (GET) para extrair usuários e hashes, ou escrita, atualizando valores individuais de configuração ou sobrescrevendo o arquivo de configuração inteiro. Não há elevação de privilégio via lógica complexa — é ausência de verificação, o tipo de bug que normalmente seria pego em um teste básico de fuzzing de headers.

O firmware afetado é descrito pela GreyNoise como firmware genérico da ValueHD Corporation ("VHD PTZ camera firmware"), baseado em SoC Hisilicon Hi3516A V600 (variantes V60, V61, V63), reutilizado por diversos fabricantes white-label além da PTZOptics (Multicam Systems SAS, SMTAV Corporation são citados como usando a mesma base). Isso significa que o raio de impacto real pode ultrapassar o catálogo de produtos PTZOptics listado oficialmente, embora só PTZOptics tenha CVE formalmente atribuída aqui.

A gravidade prática cresce porque essa falha é a primeira etapa de uma cadeia: os dados de configuração vazados (e a própria capacidade de escrever configuração) abrem caminho para CVE-2024-8957, injeção de comando OS, que a CISA descreve explicitamente como levando a RCE como root quando combinada com CVE-2024-8956.

O vetor é uma simples requisição HTTP ao endpoint /cgi-bin/param.cgi na interface web de gerenciamento da câmera, omitindo o cabeçalho Authorization. Não é necessária conta válida, não é necessária configuração não padrão — a interface de administração exposta na rede (ou, em pior caso, na internet) já é suficiente. Isso torna a exploração de baixa complexidade e sem interação do usuário (AC:L/PR:N/UI:N no vetor CVSS), compatível com a nota da CISA de que se trata de um bypass remoto de autenticação.

A descoberta original não veio de análise de código, mas de um honeypot da GreyNoise: um atacante desenvolveu e automatizou um exploit de dia zero e o disparou em varredura ampla pela internet, atingindo o sensor da GreyNoise, que classificou o tráfego como anômalo via seu sistema de IA (Sift). Ou seja, há exploração ativa e automatizada documentada antes mesmo da divulgação pública — o que justifica a entrada no KEV da CISA (adicionada em 2024-11-04, prazo de correção 2024-11-25) e não é apenas exploração teórica de PoC.

Na prática, o atacante consegue: extrair credenciais (usuário + hash MD5, quebrável), extrair dados de rede (IP, MAC, gateway) úteis para movimento lateral, e escrever/sobrescrever a configuração da câmera — o que pode ser usado para desativar o dispositivo ou, encadeado com CVE-2024-8957, executar comandos arbitrários como root e assumir controle total do feed de vídeo e do sistema.

A correção do fornecedor é atualizar o firmware para a versão 6.3.40 ou posterior, disponível no changelog oficial da PTZOptics. Não há detalhe publicado de patch parcial ou flag de configuração que desative especificamente o bug em param.cgi — a única mitigação endossada é a atualização de firmware.

Se a atualização não for possível de imediato, a CISA recomenda, na ausência de mitigação aplicável, descontinuar o uso do produto. Como controle compensatório técnico, restrinja o acesso à interface de gerenciamento web da câmera (porta HTTP do param.cgi) a uma rede de administração isolada/VLAN de gerência, sem exposição direta à internet, e bloqueie por firewall/segmentação qualquer acesso não autenticado; isso reduz a superfície mas não corrige a falha de autenticação em si.

Não confie apenas em VPN de acesso remoto genérica ou em obscuridade de rede como mitigação suficiente — o vetor é HTTP simples e não exige nenhum conhecimento prévio da topologia; qualquer host com rota IP até a porta de gerenciamento pode explorar. Trocar senhas não resolve, pois o bug ignora a autenticação por completo, independentemente da credencial configurada.

As fontes disponíveis não publicam assinaturas ou IOCs oficiais para detecção retroativa. O indício conhecido é indireto: a vulnerabilidade foi descoberta a partir de tráfego de exploração de dia zero capturado em honeypot da GreyNoise, sugerindo que scanners automatizados já buscam esse endpoint na internet. Em log de acesso web, requisições GET ou POST a /cgi-bin/param.cgi sem cabeçalho Authorization, especialmente vindas de IPs externos à rede de gerência, são o sinal mais direto de tentativa de exploração; requisições de escrita nesse endpoint seguidas de tentativas de injeção de comando (indicativas de encadeamento com CVE-2024-8957) elevam a suspeita para comprometimento ativo, não apenas reconhecimento.