Hanwha製セキュリティカメラのログインページにGitHub管理者トークンが混入
原題: My security camera shipped a GitHub admin token in its login page
なぜ重要か
IoT・監視カメラ機器のファームウェアにCI環境変数が混入する事例は、サプライチェーンセキュリティ管理の欠如を示しており、企業ネットワーク全体のリスクとなりうる。
セキュリティ研究者が2026年7月24日、Hanwha Vision製セキュリティカメラのファームウェアを解析した結果、GitHub組織内の数百リポジトリへの管理者権限を持つトークンが約30ファイルに重複して埋め込まれていることを発見した。当該トークンはカメラの管理UIにアクセスしたユーザーに送信された可能性がある。
セキュリティ研究者がHanwha Vision製セキュリティカメラのファームウェアを調査し、深刻な情報漏洩を発見した。
研究者はまず、Hanwha公式サイトから入手可能なファームウェアバイナリを分析。外側のアーカイブはモデル番号を用いた固定パスフレーズ（例：HTWXNP-9300RW）で復号できたが、内部にある別の暗号化済みアーカイブは異なる方式が使われていた。
そこで、ファームウェア内に含まれていた「fwupgrader」バイナリをGhidraおよびAIコーディングツールのClaude Codeで解析。その結果、AES-256-CBCの復号キーとIVがバイナリ内にハードコードされており、小さな静的キーテーブルとのXOR演算で難読化されているだけであることが判明した。研究者はキー（dfa049bb922e63e2decc764af5628068e5b7a2662e479a615b14643e567579b0）とIV（53f926801b81454a4f889c9a390db6e6）を同モデルライン全体で共通の値として公開している。
ルートファイルシステムへのアクセスを得た後、秘密情報スキャンツール「TruffleHog」を実行したところ、GitHubトークンが約30ファイルにわたって重複して埋め込まれていることを確認した。このトークンはHanwha GitHubオーガニゼーション内の数百リポジトリに対して管理者権限を持つものだった。
原因として、カメラのUIをViteでビルドする際に`process.env`の内容全体が変数に設定されており、CIジョブの環境変数（GITHUB_NPM_TOKENを含む）がそのままビルド成果物に書き出されていたことが確認されている。これにより、管理UIにアクセスしたユーザーに対してトークンがネットワーク越しに送信されていた可能性がある。