Компания TP-Link раскрыла информацию о критической уязвимости, позволяющей обойти аутентификацию в её линейке IP-камер VIGI. Обнаруженная проблема, получившая идентификатор CVE-2026-0629, даёт злоумышленникам, находящимся в той же локальной сети, возможность сбросить пароль администратора без какой-либо проверки. В результате атаки злоумышленники получают полный контроль над камерой.
Детали уязвимости
Уязвимость с высокой оценкой CVSS v4.0 в 8.7 балла кроется в функции восстановления пароля локального веб-интерфейса. Эксплуатация осуществляется путём манипуляции клиентскими переменными состояния. Этот метод позволяет обойти проверки, предназначенные для предотвращения несанкционированного сброса паролей. Особую озабоченность вызывает тот факт, что для атаки не требуется предварительная аутентификация или специальные привилегии. Весь процесс происходит через взаимодействие с локальным веб-интерфейсом.
После компрометации административных учётных данных злоумышленники получают неограниченный доступ к конфигурации камеры, видеопотокам и её сетевому положению. Таким образом, устройство может быть превращено в инструмент разведки или точку входа для дальнейшего продвижения по сети. Сложность атаки оценивается как низкая, а необходимое условие - лишь физическое или логическое присутствие злоумышленника в том же сегменте сети, что и целевая камера.
Уязвимость затрагивает широкий спектр продуктов VIGI. В список входят купольные камеры серий Cx45, Cx55 и Cx85, модели для внутреннего наблюдения Cx30, Cx40 и Cx50, а также панорамные камеры Cx20 и Cx20I. Кроме того, проблема обнаружена в коммерческой системе видеонаблюдения VIGI InSight. TP-Link подтвердила, что исправления требуют как минимум 30 различных аппаратных вариантов. Среди наиболее распространённых затронутых моделей - C340S, C540S, C540V и C250, а также специализированные устройства, такие как C540-4G с сотовой связью. Беспроводные модели серии Cx40-W и продвинутые камеры InSight с функцией панорамирования, наклона и масштабирования также уязвимы.
Координированный выпуск исправлений начался в конце июня 2025 года и продолжился в августе. Доступны обновления прошивок для всех затронутых серий, однако конкретные версии сборок различаются. Например, для моделей VIGI Cx45 требуется сборка 250820 Rel.57668n или новее, а для устройств серии Cx50 - минимум сборка 250702 Rel.54294n. Пользователям настоятельно рекомендуется немедленно загрузить и установить последнюю версию микропрограммы через региональные порталы поддержки. Так, пользователям в США следует обратиться к ресурсу support.vigi.com/us, а в Индии - использовать специальный индийский загрузочный центр.
Данная уязвимость представляет значительный риск для организаций, использующих инфраструктуру видеонаблюдения VIGI. Особенно это актуально для предприятий, где камеры размещены в управляющих сетях. Требование доступа к локальной сети означает, что уязвимость в первую очередь могут использовать внутренние злоумышленники, подрядчики или внешние противники, уже преодолевшие периметровую защиту.
Организациям следует расценить обновление прошивок как критически важное мероприятие по обслуживанию инфраструктуры. Дополнительно необходимо проверить сегментацию сети, изолировав камеры в выделенные сегменты VLAN. Также полезно просмотреть журналы доступа к камерам на предмет подозрительной административной активности, хотя стоит учитывать, что злоумышленники могут удалять следы после успешной атаки. Эксперты рекомендуют не только установить патчи, но и реализовать дополнительные меры контроля сетевого доступа, ограничив доступ к административным интерфейсам только для авторизованного персонала и систем.
