## Contournement d'authentification exposant les caméras IP Xiongmai Des chercheurs en sécurité ont découvert une vulnérabilité significative affectant les caméras IP XM530 de **Hangzhou Xiongmai Technology Co., Ltd**. La vulnérabilité, désignée **CVE-2025-65856**, pourrait permettre à des attaquants de contourner l'authentification et d'obtenir un accès à distance à des informations sensibles et aux flux vidéo en direct des appareils concernés. ### Détails de la vulnérabilité La vulnérabilité réside dans l'implémentation **ONVIF** du firmware de la caméra (V5.00.R02.000807D8.10010.346624.S.ONVIF_21.06). L'absence d'application de l'authentification sur 31 points d'accès critiques permet un accès direct et non autorisé aux flux vidéo. Cela signifie qu'un attaquant pourrait potentiellement visualiser la vidéo en direct sans aucune authentification. La Common Weakness Enumeration (**CWE**) associée à cette vulnérabilité est **CWE-306**, qui signifie 'Absence d'authentification pour une fonction critique'. ### Produits affectés * **Fabricant :** Hangzhou Xiongmai Technology Co., Ltd * **Produit :** Hangzhou Xiongmai Technology Co., Ltd IP Camera XM530V200_X6-WEQ_8M * **Version du firmware :** V5.00.R02.000807D8.10010.346624.S.ONVIF_21.06 * **Statut :** Affecté connu ### Impact L'exploitation réussie de cette vulnérabilité pourrait accorder à un attaquant un accès à distance complet à l'appareil, lui permettant de : * Visualiser les flux vidéo en direct. * Accéder aux informations sensibles de l'appareil. * Potentiellement manipuler les paramètres de l'appareil (en fonction de l'étendue des points d'accès exposés). ### Atténuation La **CISA** (Cybersecurity and Infrastructure Security Agency) recommande les mesures suivantes pour atténuer le risque d'exploitation : * Minimiser l'exposition réseau de tous les appareils et systèmes de contrôle, en s'assurant qu'ils ne sont pas accessibles depuis Internet. * Placer les réseaux de systèmes de contrôle et les appareils distants derrière des pare-feux et les isoler des réseaux d'entreprise. * Lorsque l'accès à distance est requis, utiliser des méthodes plus sécurisées, telles que les réseaux privés virtuels (**VPN**), en reconnaissant que les VPN peuvent présenter des vulnérabilités et doivent être mis à jour vers la version la plus récente disponible. Reconnaître également que le VPN n'est aussi sûr que les appareils connectés. * Mettre en œuvre des stratégies de cybersécurité recommandées pour la défense proactive des actifs ICS. * Éviter de cliquer sur des liens web ou d'ouvrir des pièces jointes dans des messages électroniques non sollicités. ### Remerciements La **CISA** a reconnu qu'une preuve de concept (**PoC**) publique a été découverte et rédigée par Luis Miranda Acebedo, qui l'a signalée à **MITRE**. ### Références * [CISA Advisory](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-113-05.json) * [CVE-2025-65856](https://www.cve.org/CVERecord?id=CVE-2025-65856)