CVE-2020-36873 - Astak CM-818T3 未经身份验证的配置泄露

概述

CVE-2020-36873 是一个影响 Astak CM-818T3 2.4GHz 无线安防监控摄像头的高危漏洞。该漏洞存在于 /web/cgi-bin/hi3510/backup.cgi 端点，允许未经身份验证的远程攻击者下载设备的压缩配置备份，可能泄露包括管理员凭据在内的敏感信息。

漏洞描述

Astak CM-818T3 2.4GHz 无线安防监控摄像头在 /web/cgi-bin/hi3510/backup.cgi 端点中存在一个未经身份验证的配置泄露漏洞。该端点允许远程下载压缩的配置备份，而无需任何身份验证或授权。泄露的备份文件可能包含管理员凭据和其他敏感设备设置，使得未经身份验证的远程攻击者能够获取信息，从而可能促成对摄像头或所连接网络的进一步入侵。

基本信息

• 发布日期：2025年11月26日 23:15
• 最后修改日期：2025年11月26日 23:15
• 可远程利用：是
• 来源：disclosure@vulncheck.com

受影响产品

截至目前，尚未记录到具体的受影响产品信息。 受影响厂商总数：0 | 产品总数：0

CVSS 评分

分数：8.7 版本：CVSS 4.0 严重性：高

解决方案

• 限制对 backup.cgi 端点的访问，并禁用远程配置下载功能。
  • 阻止来自不可信网络对 backup.cgi 的访问。
  • 禁用远程配置备份功能。
  • 如果可用，应用供应商的安全更新。
  • 更改默认的管理员凭据。

相关参考

CWE - 常见缺陷枚举

CVE-2020-36873 与以下 CWE 相关：

• CWE-306：关键功能缺少身份验证

CAPEC - 常见攻击模式枚举与分类

描述攻击者如何利用 CVE-2020-36873 弱点的常见攻击模式：

• CAPEC-12: 选择消息标识符
• CAPEC-36: 使用未发布的接口或功能
• CAPEC-62: 跨站请求伪造
• CAPEC-166: 强制系统重置值
• CAPEC-216: 通信信道操纵

GitHub 概念验证漏洞利用代码

我们扫描 GitHub 仓库以检测新的概念验证漏洞利用代码。以下列表是公开的漏洞利用和概念验证代码集合（按最近更新排序）。 由于潜在的性能问题，结果限制在前15个仓库。

相关新闻

以下列表列出了文章中提及 CVE-2020-36873 漏洞的新闻。 由于潜在的性能问题，结果限制在前20篇新闻文章。

漏洞历史记录

以下表格列出了 CVE-2020-36873 漏洞随时间所做的更改。 漏洞历史记录详细信息有助于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。

EPSS 评分历史

EPSS 是对未来30天内观察到漏洞利用活动概率的每日估计。下图显示了该漏洞的 EPSS 评分历史。

信息泄露

漏洞评分详情

CVSS 4.0

• 基础 CVSS 分数：8.7