🪲Vulnerabilidad crítica en cámaras Vivotek permite ver video sin autenticación (CVE-2025-66049)

Una vulnerabilidad grave ha sido identificada en las cámaras de red Vivotek IP7137, que permite a usuarios no autenticados acceder a las transmisiones de video en vivo sin requerir ninguna contraseña a través del protocolo RTSP. Esta falla, catalogada como CVE-2025-66049, afecta al firmware versión 0200a de este modelo y es especialmente preocupante porque muchos dispositivos están en uso en redes empresariales, hogares y sistemas de vigilancia, y no cuentan con parches disponibles debido a que el producto ha alcanzado su fin de vida útil. 

¿Qué pasa con esta vulnerabilidad?

La falla se encuentra en la forma en que la cámara maneja el protocolo RTSP (Real Time Streaming Protocol) en el puerto 8554. Normalmente, el acceso al video en vivo debería requerir autenticación de usuario, pero debido a esta falla, cualquiera con acceso a la red puede ver la transmisión sin ingresar credenciales, lo que expone contenido sensible de vigilancia sin barreras de seguridad.

Esto representa un riesgo importante tanto para privacidad como para seguridad física, ya que cámaras de vigilancia ubicadas en oficinas, fábricas, hogares o zonas públicas pueden ser monitoreadas por terceros sin autorización.

El problema es considerado de alta severidad (con puntajes altos en sistemas de evaluación de vulnerabilidad), ya que no requiere interacción del usuario ni privilegios previos para ser explotado, siempre y cuando el atacante tenga acceso a la red donde se encuentra la cámara.

¿Qué cámaras están afectadas?

La vulnerabilidad ha sido reportada específicamente para el modelo Vivotek IP7137 con firmware versión 0200a, aunque podría afectar también otras versiones no actualizadas o dispositivos similares que no tienen parches disponibles.

Una característica preocupante de estos dispositivos es que ya han llegado al final de su ciclo de vida, lo que significa que el fabricante no planea lanzar actualizaciones o correcciones de seguridad para este fallo.

 ¿Por qué esto es un problema serio?

Las cámaras de seguridad tienen la misión de vigilar áreas sensibles, proteger instalaciones y capturar eventos en tiempo real. Si un atacante puede ver la transmisión sin autenticarse, esto abre múltiples riesgos:

• Un intruso puede observar patrones de movimiento y horarios de personas sin ser detectado.

• Alguien puede monitorear espacios privados de forma remota.

• Se puede estudiar el diseño físico del lugar antes de realizar un ataque físico real.

• Equipos de terceros expuestos en la misma red (por ejemplo, IoT o sistemas no aislados) podrían ofrecer vectores adicionales de ataque.

Además, debido a que no se espera que exista una actualización oficial para este modelo en particular, los dispositivos que permanezcan en operación continuarán siendo susceptibles indefinidamente a menos que se retiren o se reemplacen por modelos más modernos con soporte activo.

¿Qué se recomienda hacer?

Dado que el fabricante no ha publicado un parche para esta falla por tratarse de un producto que llegó a end-of-life, las organizaciones y usuarios pueden aplicar varias estrategias para mitigar el riesgo:

1. Retirar o reemplazar dispositivos afectados por modelos más nuevos que sí reciban actualizaciones de seguridad.

2. Desplegar firewall o reglas de acceso en la red para que las cámaras solo sean accesibles desde segmentos internos seguros o mediante VPN.

3. Configurar la red de cámaras en subredes aisladas que no estén expuestas a usuarios no autorizados ni a redes públicas.

4. Si es posible, actualizar el firmware a la versión más reciente disponible (aunque no resuelva esta falla específica, puede ayudar con otras).

5. Revisar políticas de acceso y monitoreo de tráfico RTSP, detectando conexiones inusuales desde direcciones externas.

Estas medidas no eliminan directamente la falla de exposición, pero sí reducen la probabilidad de que un atacante tenga acceso a la cámara sin restricciones.

La vulnerabilidad CVE-2025-66049 en cámaras Vivotek IP7137 es un recordatorio claro de que incluso dispositivos aparentemente simples como cámaras IP pueden convertirse en serios riesgos de seguridad si no se gestionan adecuadamente. El hecho de que el firmware esté desactualizado y que el fabricante ya no provea parches hace que esta falla sea especialmente crítica, porque deja a las organizaciones y hogares con dispositivos antiguos expuestos por tiempo indefinido.

Ante esto, la recomendación general es remplazar estos dispositivos por equipos con soporte activo, aplicar segmentación de red y políticas estrictas de control de acceso, para evitar que terceros sin autorización puedan monitorear transmisiones de video críticas.