Hanwha Vision セキュリティカメラ ファームウェア漏洩: GitHub 管理者トークンと DoD IP アドレス

Hanwha Vision セキュリティカメラ ファームウェア漏洩: GitHub 管理者トークンと DoD IP アドレス

セキュリティ研究者は、Hanwha Vision セキュリティカメラがログインページに GitHub 管理者トークンを埋め込んだ状態で出荷され、会社の GitHub 組織内の数百のリポジトリへの管理者アクセスを提供していることを発見しました。この漏洩は、カメラの UI が Vite で構築されており、CI 環境からの process.env オブジェクト全体を本番ビルドファイルに誤ってエクスポートしたために発生しました。

ビルドプロセスを通じて漏洩した GitHub 管理者トークン

Hanwha Vision は、カメラのルートファイルシステム内の約 30 ファイルにわたって高特権の GitHub トークンを誤って公開しました。この脆弱性は、CI ジョブの環境変数がクライアントサイドコードに直接書き込まれたビルドタイム構成エラーから生じました。

ファームウェアで見つかった漏洩した環境変数オブジェクトの例は次のとおりです：

var W = {
  DATAPORT: "9090",
  GIT_LFS_SKIP_SMUDGE: "1",
  npm_command: "run-script",
  KUBERNETES_SERVICE_PORT_HTTPS: "443",
  GITHUB_NPM_TOKEN: "<snip>:ghp_…REDACTED…",
  npm_config_userconfig: /home/docker/.npmrc,
  // etc
}

研究者は、このトークンが Hanwha GitHub 組織内の数百のリポジトリに管理者特権を付与することを確認しました。問題を報告した後、Hanwha は 12 時間以内に対応し、トークンを取り消しました。

ファームウェア暗号化のリバースエンジニアリング

ルートファイルシステムにアクセスするには、2 層の暗号化をバイパスする必要がありました。以前の一部の研究では、モデル番号に基づく単純なパスフレーズ（例: HTW + モデル番号）が示されていましたが、新しいファームウェアバージョンでは、fwupgrader バイナリ内により複雑な難読化手法が使用されていました。

Ghidra と AI アシスト分析 (Claude Code) を使用して fwupgrader バイナリを解析したところ、研究者は AES キーが静的キー表と XOR され、ランタイムで再組み立てられることを特定しました。その後、fwupgrader は openssl CLI を実行して rootfs を復号化します。モデルライン全体で使用されているハードコードされた認証情報は次のとおりです：

  • KEY: dfa049bb922e63e2decc764af5628068e5b7a2662e479a615b14643e567579b0
  • IV: 53f9226801b81454a4f889c9a390db6e6

rootfs を抽出するために使用される復号化コマンドは次のとおりです：

openssl enc -md sha256 -aes-256-cbc -d -K <KEY> -iv <IV> -in <INPUT> -out <OUTPUT>

米国国防総省 (DoD) IP アドレスの発見

GitHub トークン以外にも、漏洩した環境変数には米国国防総省 (DoD) に割り当てられた IP アドレスが含まれていました。これらのアドレスは、SWARM_MASTER_NFS_ADDRESS、OTEL_ELASTIC_URL、および CIMIP などの変数で見つかりました。

特定された IP アドレスは次のとおりです：

  • 55.101.212.23
  • 55.101.212.21
  • 55.101.211.213

Hanwha Vision が Hanwha Group の子会社であり、Hanwha Aerospace および Hanwha Defense USA（K9 Thunder 自走砲の製造元）を含むことを考慮すると、研究者はこれらの DoD 関連のエントリが、親組織内の複数の姉妹会社で共有されている CI プラットフォームの結果である可能性があると推測しています。

コミュニティの洞察とセキュリティへの影響

業界の観察者とセキュリティ専門家は、このインシデントからいくつかの重要な教訓を指摘しました：

  • The Role of AI in Reverse Engineering: The speed at which the obfuscated fwupgrader binary was analyzed underscores a shift in security. As one commenter noted, "LLMs have truly killed obfuscation. It only worked previously by making things extremely tedious but AI doesn't care about that."\n* IoT Network Isolation: The incident reinforces the necessity of isolating IoT devices. Experts recommend placing security cameras on a separate VLAN without public internet access to mitigate the risk of leaked credentials or unauthorized access.\n* Supply Chain Risks: The discovery of government-linked IP addresses in commercial firmware has raised concerns regarding supply-side attacks. One community member suggested that such leaks could be evidence of a targeted attack against the DoD using the leaked GitHub token.

Sources