一、 漏洞 CVE-2025-65857 基础信息
漏洞信息
# N/A
## 概述
Xiongmai XM530 IP摄像头在特定固件版本中存在安全漏洞，其`GetStreamUri`接口返回的RTSP URI包含硬编码凭证，导致未经身份验证的用户可直接访问视频流。
## 影响版本
固件版本 V5.00.R02.000807D8.10010.346624.S.ONVIF 21.06
## 细节
`GetStreamUri` ONVIF接口在返回RTSP流地址时，URI中嵌入了硬编码的用户名和密码。攻击者可通过调用该接口获取含凭证的RTSP链接，无需合法认证即可访问实时视频流。
## 影响
未经身份验证的远程攻击者可利用该漏洞直接获取摄像头的视频流，造成隐私泄露和监控画面被非法访问。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
An issue was discovered in Xiongmai XM530 IP cameras on firmware V5.00.R02.000807D8.10010.346624.S.ONVIF 21.06. The GetStreamUri exposes RTSP URIs containing hardcoded credentials enabling direct unauthorized video stream access.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Xiongmai XM530 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Xiongmai XM530是中国Xiongmai公司的一个视频监控摄像头。 Xiongmai XM530 IP cameras firmware V5.00.R02.000807D8.10010.346624.S.ONVIF 21.06版本存在安全漏洞，该漏洞源于GetStreamUri暴露包含硬编码凭据的RTSP URI，可能导致未经授权的视频流访问。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-65857 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|---|---|---|
| 1 | Xiongmai XM530 IP Camera Hardcoded RTSP Credentials Exposure | https://github.com/LuisMirandaAcebedo/CVE-2025-65857 | POC详情 |
三、漏洞 CVE-2025-65857 的情报信息
标题： Intellectual Property & Patent Intelligence Solutions -- 🔗来源链接
标签：
神龙速读：从这个网页截图中，可以获取到以下关于漏洞的关键信息： - **隐私和安全漏洞**： - 网页上的Cookies使用声明并未显示完整的隐私政策链接，这可能让用户无法完全了解他们的数据如何被使用。 - 缺乏对隐私政策的明确链接，可能导致用户对网站的透明度和数据处理方式产生疑虑。 - **内容完整性**： - 网页中的部分按钮如“SEE WHAT'S NEW”并未完全展示在屏幕中，可能影响用户体验，用户可能无法方便地获取最新信息。 - **用户体验**： - 网页设计中，文字内容部分较长，可能影响快速阅读和重点信息的获取。 这些信息提示了在安全、隐私和用户体验方面可能存在的一些潜在漏洞或改进空间。
标题： CVE-2025-65857 | Xiongmai XM530 IP Camera Hardcoded RTSP Credentials Exposure -- 🔗来源链接
标签：
神龙速读：### 关键信息 #### 漏洞概述 - **CVE ID**: CVE-2025-65857 - **严重性**: CRITICAL - **CVSS 3.1 分数**: 9.1 (研究人员评估 - 等待NVD分析) - **CVSS 向量**: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H #### 影响 - **攻击向量**: - 网络 - 远程可利用 - **攻击复杂度**: - 低 - 所有设备中硬编码的凭证 - **需授权的特权**: - 无 - 可通过CVE-2025-65856访问 - **用户交互**: - 无 - 零点击利用 - **保密性**: - 高 - 完全视频流访问 - **完整性**: - 无 - 只读凭证泄露 - **可用性**: - 高 - 流耗尽导致的潜在DoS #### 影响 - 通过未认证的ONVIF请求获取RTSP凭证 - 直接访问实时视频和音频流 - 实时监控监控馈送 - 在所有设备上凭凭证进行大规模监控操作 - 违反摄像机主题的隐私 #### 证明概念 - 三步演示完全访问无认证实时视频流 #### 缓解 - 网络隔离，防火墙规则，仅通过VPN访问等用户立即行动 - 去除硬编码凭证、实施RTSP摘要认证等厂商需采取的措施 - 当前无补丁可用
- http://hangzhou.com
- https://nvd.nist.gov/vuln/detail/CVE-2025-65857
四、漏洞 CVE-2025-65857 的评论
暂无评论