Una grave falla de seguridad en las cámaras IP de IDIS ha salido a la luz, permitiendo a los atacantes tomar el control completo de la computadora de una víctima con solo un clic. La vulnerabilidad, identificada como CVE-2025-12556, afecta al IDIS Cloud Manager (ICM) Viewer, una aplicación basada en Windows utilizada para monitorear transmisiones de vigilancia de cámaras IP de IDIS desplegadas en empresas, instalaciones de manufactura y entornos militares

Ha surgido una grave falla de seguridad en las cámaras IP de IDIS que permite a los atacantes tomar el control completo del ordenador de una víctima con solo un clic.

La vulnerabilidad, registrada como CVE-2025-12556, afecta al IDIS Cloud Manager (ICM) Viewer, una aplicación para Windows utilizada para monitorear transmisiones de cámaras IP de IDIS desplegadas en empresas, instalaciones de fabricación e instalaciones militares en todo el mundo.

Con una puntuación CVSS de 8.7, esta falla representa una amenaza crítica que podría convertir sistemas de vigilancia rutinarios en puntos de entrada para brechas a nivel de red.

IDIS, un fabricante surcoreano de vigilancia por video, ofrece una solución integrada de gestión en la nube que conecta cámaras IP, grabadores de video en red y software de gestión de video a través de su plataforma ICM.

La vulnerabilidad permite a los actores de amenazas ejecutar código malicioso en la máquina anfitriona engañando a las víctimas para que hagan clic en un enlace especialmente diseñado.

Aunque los usuarios suelen ser advertidos sobre no hacer clic en enlaces no confiables, esta falla de seguridad aumenta el peligro de manera significativa al romper la caja de arena protectora del navegador y ejecutar código directamente en el sistema operativo Windows.

Después del segundo párrafo, investigadores de Claroty identificaron la debilidad durante su investigación sobre ecosistemas de vigilancia modernos habilitados para la nube.

Su análisis reveló que la arquitectura del ICM Viewer contiene múltiples descuidos de seguridad que, al combinarse, crean una peligrosa vía de ataque.

La falla proviene de un servicio de Windows llamado CWGService.exe, que escucha en el puerto local 16140 y acepta comandos para iniciar el ICM Viewer con parámetros específicos.

Dado que este servicio no valida el origen de los comandos entrantes ni desinfecta los argumentos de entrada, los atacantes pueden inyectar instrucciones maliciosas a través de una conexión WebSocket iniciada por código JavaScript en un sitio web malicioso.

Una vez explotada, la vulnerabilidad otorga a los atacantes acceso completo al sistema comprometido, permitiéndoles robar datos sensibles, instalar malware adicional o moverse lateralmente a través de la red para atacar otros dispositivos.

Esto presenta un escenario particularmente alarmante para las organizaciones que dependen de los sistemas de vigilancia de IDIS, ya que una sola estación de trabajo comprometida podría servir como trampolín para ataques contra la infraestructura más amplia, incluyendo cámaras de vigilancia y sistemas críticos de negocio.

Mecanismo de ataque y explotación técnica

El proceso de explotación aprovecha un fallo de diseño en cómo el ICM Viewer procesa los argumentos de línea de comandos pasados desde el componente CWGService.

El ICM Viewer está construido sobre el Chromium Embedded Framework (CEF), que acepta varias banderas de línea de comandos para modificar el comportamiento del navegador.

Los atacantes descubrieron que podían inyectar la bandera de depuración --utility-cmd-prefix en la cadena de ejecución, permitiéndoles envolver los procesos de utilidad del visor con comandos arbitrarios.

Al alojar una página web maliciosa que contiene JavaScript que se conecta al servicio WebSocket local, los atacantes pueden enviar mensajes cifrados con argumentos inyectados que desencadenan la ejecución de código cuando un usuario desprevenido visita la página.

El ataque no requiere autenticación más allá de convencer a la víctima de hacer clic en un enlace, lo que lo hace particularmente efectivo para campañas de phishing dirigido.

Los investigadores de Claroty demostraron con éxito el exploit inyectando comandos que lanzaban el Bloc de notas, probando la viabilidad del concepto para cargas útiles más maliciosas.

La CISA ha emitido un aviso instando a todos los usuarios del IDIS ICM Viewer a actualizar inmediatamente a la versión 1.7.1 o desinstalar el software si no está en uso.

Las organizaciones deben actuar rápidamente para parchear sus sistemas, ya que la combinación de alta gravedad y facilidad de explotación hace que esta vulnerabilidad sea un objetivo atractivo para los actores de amenazas que buscan acceso a la red a través de dispositivos IoT.