- Aktif istismar
- Yama var
- CWE-287
- CWE-306
CVE-2024-8956
PTZOptics PT30X SDI/NDI kameralarda param.cgi üzerinde kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 22 Kas 2025
- Açık yaşı
- 770 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Etkilenen kameralara internet veya iç ağ üzerinden herhangi bir şifre girmeden erişilip ayarları okunabiliyor ve değiştirilebiliyor. Zafiyet aktif olarak istismar edildiği için risk yüksektir. Güncellemenin gecikmeden yapılması gerekir.
ÖzetTürkçe
PTZOptics PT30X-SDI ve PT30X-NDI kameraların 6.3.40 öncesi yazılımlarında, adresine HTTP Authorization başlığı olmadan gönderilen isteklerde kimlik doğrulama düzgün uygulanmıyor. Bu nedenle uzaktan ve kimlik doğrulaması yapmadan erişen bir saldırgan cihazın yapılandırma verilerine ulaşabiliyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir ve aktif olarak istismar edildiği bilinmektedir.
Saldırgan ne yapabilir?
Saldırgan kullanıcı adlarını, parola özetlerini (hash) ve yapılandırma ayrıntılarını sızdırabilir. Ayrıca tek tek yapılandırma değerlerini değiştirebilir veya yapılandırma dosyasının tamamının üzerine yazabilir.
Kaynaktaki açıklama (İngilizce)
PTZOptics PT30X-SDI/NDI-xx before firmware 6.3.40 is vulnerable to an insufficient authentication issue. The camera does not properly enforce authentication to /cgi-bin/param.cgi when requests are sent without an HTTP Authorization header. The result is a remote and unauthenticated attacker can leak sensitive data such as usernames, password hashes, and configurations details. Additionally, the attacker can update individual configuration values or overwrite the whole file.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- PTZOptics PT30X-SDI ve PT30X-NDI kameraların yazılımını 6.3.40 veya daha yeni bir sürüme güncelleyin. Üretici
- Üretici talimatlarına göre azaltım önlemlerini uygulayın; önlemler mümkün değilse ürünün kullanımını durdurun. CISA
- Güncelleme yapılana kadar kameraların web arayüzüne erişimi güvenlik duvarı ile yalnızca güvenilir yönetim ağlarına sınırlayın ve internetten erişimi kapatın. Genel öneri
- Güncellemeden sonra kullanıcı hesaplarının parolalarını değiştirin ve yapılandırmanın yetkisiz şekilde değiştirilip değiştirilmediğini kontrol edin. Genel öneri
Ek önlemler
- Kamera gibi IoT cihazlarını ayrı bir ağ bölümünde (VLAN) tutun ve doğrudan internete açmayın. Genel öneri
- Cihazın yönetim arayüzüne yapılan olağan dışı istekleri ve beklenmeyen yapılandırma değişikliklerini izleyin. Genel öneri
- Parolaların sızmış olabileceğini varsayarak aynı parolaları başka sistemlerde kullanmayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PTZOptics PT30X-NDI | < 6.3.40 | 6.3.40 |
| PTZOptics PT30X-SDI | < 6.3.40 | 6.3.40 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- ptzoptics.com/firmware-changelog Üretici bülteni
- vulncheck.com/advisories/ptzoptics-insufficient-auth Üçüncü taraf
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.