Fest im Code hinterlegte Bootloader-Zugangsdaten ermöglichen die vollständige Übernahme von CareCam-Pro-Kameras

Eine fest im Code hinterlegte Zugangsinformation in der IP-Kamera CareCam Pro ANJIA AJL33PC0801 kann jedem mit physischem Zugriff privilegierte Kontrolle über den Bootloader des Geräts ermöglichen. Dieser Zugriff lässt sich dazu nutzen, die Firmware zu verändern, Systemeinstellungen zu manipulieren und die Kamera möglicherweise vollständig zu kompromittieren.

CISA dokumentierte die Schwachstelle als CVE-2026-85083 in der am 8. September 2026 erstmals veröffentlichten Empfehlung ICSA-26-251-01. Nach Angaben der Behörde kann die Schwachstelle nicht aus der Ferne ausgenutzt werden. Zum Zeitpunkt der Veröffentlichung lagen ihr außerdem keine Berichte über eine gezielte öffentliche Ausnutzung der Schwachstelle vor.

Die Voraussetzung des physischen Zugriffs begrenzt den Kreis der wahrscheinlichen Angreifer. Sie verringert jedoch nicht die Folgen, sobald ein Angreifer den anfälligen Authentifizierungsmechanismus des Bootloaders erreicht.

Betroffen sind nachweislich ein Kameramodell und ein Firmware-Build

Die Schwachstelle betrifft folgende CareCam-Geräte:

• Hersteller: CareCam
• Produktfamilie: CareCam Pro IP Cameras
• Modell: ANJIA AJL33PC0801
• Firmware: linux_linux_202008261138_svn13796_/_Bootloader_U-Boot_2010.06_compiled_2020-08-26
• Status: known_affected
• Schwachstelle: CVE-2026-85083
• Schwachstellentyp: CWE-798, Verwendung fest kodierter Zugangsdaten

Für keine weiteren CareCam-Modelle oder Firmware-Versionen wurde bislang eine Schwachstelle bestätigt. Umgekehrt wurde auch keine bereinigte Firmware-Version veröffentlicht. Betreiber sollten daher nicht davon ausgehen, dass ein anderer Build sicher ist, sofern CareCam dies nicht ausdrücklich bestätigt.

Die betroffenen Kameras werden weltweit eingesetzt. CISA ordnet die Geräte dem Sektor Commercial Facilities zu und nennt China als Sitz des Herstellers.

Die Empfehlung veröffentlicht die eingebettete Zugangsinformation nicht. Außerdem beschreibt sie weder die genaue physische Schnittstelle noch die erforderlichen Schritte zum Öffnen des Geräts oder die benötigte Hardware, um den Bootloader zu erreichen. Diese Lücken erschweren zwar die sofortige Verfügbarkeit konkreter Ausnutzungsanleitungen, beseitigen die zugrunde liegende Schwachstelle jedoch nicht.

Zugangsdaten umgehen die Authentifizierung des Bootloaders

CVE-2026-85083 besteht, weil die ANJIA AJL33PC0801 eine fest hinterlegte Zugangsinformation zur Authentifizierung am Bootloader enthält. Ein in der Gerätefirmware oder in Boot-Komponenten eingebettetes Geheimnis ermöglicht keine sichere gerätespezifische Authentifizierung – insbesondere dann nicht, wenn derselbe Wert für mehrere Geräte verwendet wird.

Ein Angreifer muss zunächst physischen Zugriff auf die Kamera erlangen. Ein bestehendes Benutzerkonto oder besondere Systemrechte sind nicht erforderlich. Die Ausnutzung setzt auch nicht voraus, dass ein Benutzer eine Datei öffnet, eine Abfrage bestätigt oder eine andere Aktion ausführt.

Nach erfolgreicher Authentifizierung mit der fest hinterlegten Zugangsinformation kann der Angreifer privilegierte Bootloader-Funktionen aufrufen. CISA nennt mehrere mögliche Aktionen:

• Ändern der Kamerafirmware
• Ändern der Systemkonfiguration
• Beeinträchtigung des normalen Gerätebetriebs
• Vollständige Übernahme des betroffenen Geräts

Der Zugriff auf Bootloader-Ebene ist besonders kritisch, weil der Bootloader vor dem eigentlichen Betriebssystem ausgeführt wird. Änderungen in dieser Phase können die anschließend geladene Software manipulieren oder vollständig ersetzen. Eine Änderung der Firmware könnte zudem dazu führen, dass sich schädliche Manipulationen durch gewöhnliche Konfigurations-Resets nur schwer entfernen lassen. Die Empfehlung macht allerdings keine Angaben dazu, ob die Kamera Secure Boot oder Mechanismen zur Integritätsprüfung der Firmware unterstützt.

Eine erfolgreiche Kompromittierung könnte alle drei wesentlichen Schutzziele der Kamera beeinträchtigen: Vertraulichkeit, Integrität und Verfügbarkeit. Die Empfehlung nennt keine kameraspezifischen Möglichkeiten nach der Ausnutzung. Daher ist nicht bekannt, ob ein Angreifer Aufzeichnungen direkt abziehen, Videostreams manipulieren, gespeicherte Zugangsdaten auslesen oder in benachbarte Systeme vordringen könnte.

Physischer Zugriff macht den Angriff lokal, aber nicht harmlos

CISA erklärt ausdrücklich, dass CVE-2026-85083 nicht aus der Ferne ausgenutzt werden kann. Ein Angreifer aus dem Internet kann die Bootloader-Schwachstelle unter den dokumentierten Bedingungen nicht direkt über das Netzwerk auslösen.

Diese Unterscheidung ist relevant. Unternehmen sind dadurch nicht demselben breiten Scan-Risiko ausgesetzt wie bei einer öffentlich erreichbaren Webschnittstelle oder einer aus der Ferne ausnutzbaren Command-Injection-Schwachstelle.

Wahrscheinlicher sind Szenarien, in denen Kameras an Orten installiert sind, an denen Außenstehende, Dienstleister, Besucher oder unbefugte Beschäftigte Zugriff auf die Geräte haben. Kameras in öffentlich zugänglichen Fluren, Verkaufsflächen, Parkbereichen, temporären Einrichtungen oder unzureichend gesicherten Technikräumen sind möglicherweise stärker gefährdet als Kameras in abgesperrten Bereichen.

Sobald physischer Zugriff besteht, ist die Angriffskomplexität gering. Beide Bewertungssysteme halten fest, dass weder vorherige Berechtigungen noch eine Benutzerinteraktion erforderlich sind:

• CVSS v3.1: 6,8, Mittel
  CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVSS v4.0: 7,0, Hoch
  CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Die Bewertungen spiegeln ein wichtiges Verhältnis wider: Der Angreifer muss die Kamera physisch erreichen, eine erfolgreiche Ausnutzung kann jedoch erhebliche Auswirkungen auf das betroffene Gerät haben.

Nach CVSS v4.0 werden keine Auswirkungen auf nachgelagerte Systeme angerechnet. Das bedeutet nicht, dass eine laterale Bewegung unmöglich ist. Es bedeutet lediglich, dass solche Folgewirkungen in der Bewertung nicht festgestellt wurden.

Keine öffentliche Ausnutzung und keine produktspezifische Behebung bekannt

Zum Zeitpunkt der Veröffentlichung der Empfehlung lagen CISA keine Berichte über eine bekannte öffentliche Ausnutzung von CVE-2026-85083 vor. Der Sicherheitsforscher Omkar Mali meldete die Schwachstelle an die Behörde.

Nach den verfügbaren Informationen ist CVE-2026-85083 nicht als Eintrag im Katalog der bekannten ausgenutzten Schwachstellen von CISA aufgeführt. Daher wurden weder ein Aufnahmedatum in den KEV-Katalog noch eine Frist für die Behebung durch Bundesbehörden angegeben. Eine CISA-ICS-Empfehlung allein ist kein Beleg dafür, dass eine Schwachstelle aktiv ausgenutzt wird.

CareCam hat weder einen Patch noch eine korrigierte Firmware-Version, ein Verfahren zum Austausch der Zugangsdaten oder eine produktspezifische Umgehungslösung veröffentlicht. Unklar ist außerdem, ob sich die eingebettete Zugangsinformation über die Konfiguration deaktivieren lässt.

Es wurden keine Indicators of Compromise veröffentlicht, die mit der Schwachstelle in Verbindung stehen. Betreiber können sich daher nicht auf einen bekannten Datei-Hash, eine bestimmte Befehlszeichenfolge, eine Netzwerkadresse oder ein standardisiertes Log-Ereignis verlassen, um eine Ausnutzung zu erkennen.

Betreiber sollten physischen Zugriff und Geräteintegrität priorisieren

Bis eine geprüfte Firmware-Aktualisierung verfügbar ist, stellt die physische Absicherung die unmittelbarste kompensierende Maßnahme dar. Unternehmen sollten ANJIA AJL33PC0801-Kameras inventarisieren, ihre Firmware-Builds dokumentieren und Geräte identifizieren, bei denen ein unbefugter Zugriff wahrscheinlich ist.

Der Zugriff auf Kameras und zugehörige Steuerungstechnik sollte auf autorisierte Personen beschränkt werden. Betreiber sollten die Geräte außerdem auf Anzeichen für ein Öffnen, einen Austausch, unerwartete Verkabelung, beschädigte Siegel oder nicht erklärbare Konfigurationsänderungen prüfen.

Eine Netzwerkisolierung bleibt sinnvoll, obwohl der anfällige Angriffsweg lokal ist. Kamera- und Steuerungsnetzwerke sollten von den Unternehmenssystemen getrennt, durch Firewalls geschützt und nicht direkt mit dem öffentlichen Internet verbunden werden. Dadurch lässt sich eine bereits kompromittierte Kamera eindämmen und die Möglichkeit verringern, sie als Ausgangspunkt für weitere Angriffe zu missbrauchen.

Wenn eine Fernadministration betrieblich erforderlich ist, sollten Unternehmen gepflegte VPN-Technik einsetzen und die darüber angebundenen Endpunkte absichern. Ein VPN schützt eine Kamera nicht vor jemandem, der physisch auf ihren Bootloader zugreifen kann.

Darüber hinaus sollten Betreiber:

1. Die aktuelle Firmware und Konfiguration mit bekannten Sollwerten vergleichen.
2. Nicht erklärbare Neustarts, Zurücksetzungen, Ausfälle oder Konfigurationsänderungen untersuchen.
3. Den Netzwerkverkehr betroffener Kameras auf neue Ziele oder ungewöhnliche Protokolle prüfen.
4. Ein Gerät ersetzen, wenn sich die Integrität seiner Firmware nach einem vermuteten physischen Zugriff nicht feststellen lässt.
5. Vor Änderungen an Netzwerkpfaden oder Kamerakonfigurationen die betrieblichen Auswirkungen bewerten.
6. Etablierte Verfahren zur Reaktion auf Sicherheitsvorfälle befolgen und vermutete schädliche Aktivitäten an CISA melden.

Maßnahmen gegen Phishing und Social Engineering bleiben für die allgemeine Umgebung sinnvoll, beheben jedoch nicht die Ursache von CVE-2026-85083. Das zentrale Problem dieser Schwachstelle ist die fest hinterlegte Bootloader-Authentifizierung in Verbindung mit unbefugtem physischem Zugriff. Solange CareCam keine validierte Behebung bereitstellt, müssen Unternehmen dieses Risiko durch Zugangsbeschränkungen, Netzsegmentierung, Überwachung und sorgfältige Integritätsprüfungen beherrschen.