Schwachstellen in CareCam-Kameras ermöglichen Live-Videozugriff, Root-Zugriff und den Diebstahl von WLAN-Zugangsdaten

Sieben Schwachstellen in der IP-Kamera CareCam CM2507 ermöglichen unter anderem das nicht authentifizierte Abrufen von Videostreams, die Ausführung beliebigen Codes und die Wiederherstellung von Zugangsdaten für drahtlose Netzwerke.

Das betroffene Produkt verwendet CareCam HMT.CM2507 Firmware v251211.1507 und ist als known_affected eingestuft. Eine korrigierte Firmwareversion oder eine vom Hersteller bereitgestellte Abhilfe wurde bislang nicht identifiziert.

Die Schwachstellen betreffen unterschiedliche Vertrauensgrenzen. Einige lassen sich ohne Zugangsdaten aus der Ferne ausnutzen, während andere eine Erreichbarkeit im lokalen Netzwerk, Zugriff auf das Dateisystem oder die physische Kontrolle über die Kamera erfordern. In Kombination könnten sie es einem Angreifer ermöglichen, sich von Überwachungs- und Verwaltungszugriffen bis hin zur dauerhaften Kompromittierung des Geräts oder zum Eindringen in das verbundene drahtlose Netzwerk vorzuarbeiten.

CareCam hat seinen Hauptsitz in China. Die Kameras werden weltweit eingesetzt und dem Sektor der kritischen Infrastruktur „Commercial Facilities“ zugeordnet. Ben Law meldete die Erkenntnisse an CISA.

Zwei Netzwerkschwachstellen legen Video- und privilegierte Verwaltungsfunktionen offen

Die unmittelbarsten Risiken gehen von Diensten aus, die ohne gültige Authentifizierung über ein Netzwerk erreichbar sind.

CVE-2026-88259 betrifft den Netzwerk-Videostreamingdienst der Kamera. Die CM2507 stellt Live-Video bereit, ohne zuvor die Identität des Anfragenden zu überprüfen. Dadurch kann jeder, der den Dienst erreichen kann, den Kamerastream abrufen.

Die Schwachstelle ist als CWE-306, Missing Authentication for Critical Function, klassifiziert. Sie erhielt einen CVSS-v3.1-Score von 7,5 HIGH und einen CVSS-v4.0-Score von 8,7 HIGH. Für die Ausnutzung sind weder Berechtigungen noch eine Benutzerinteraktion oder ungewöhnliche Voraussetzungen erforderlich.

Die Folge ist ein direkter Verlust der Vertraulichkeit des Videomaterials. Je nachdem, wo eine Kamera installiert ist, könnte ein offener Stream Bewohner, Arbeitsabläufe, physische Sicherheitsmaßnahmen oder Vorgänge in einer kommerziellen Einrichtung offenlegen.

CVE-2026-84398 eröffnet einen separaten Zugang zum ONVIF-Verwaltungsdienst. Ein privilegiertes Konto akzeptiert ein leeres Passwort und ermöglicht einem Angreifer im Netzwerk dadurch den Zugriff auf Verwaltungsfunktionen, ohne dass er ein Passwort kennen muss.

Über dieses Konto kann ein Angreifer möglicherweise Informationen über das Gerät, konfigurierte Benutzer, Medienprofile und Stream-Einstellungen abrufen. Dieses Problem ist als CWE-258, Empty Password in Configuration File, klassifiziert und weist dieselben Scores wie die Videoschwachstelle auf: 7,5 HIGH nach CVSS v3.1 und 8,7 HIGH nach CVSS v4.0.

Diese Schwachstellen setzen weder Phishing noch eine andere Aktion des Benutzers voraus. Die wichtigste Voraussetzung ist die Erreichbarkeit über das Netzwerk.

Wartungs- und physische Schnittstellen vergrößern die Angriffsfläche

Drei weitere Schwachstellen legen Debugging-, Wechseldatenträger- und Bootloader-Funktionen offen.

CVE-2026-84400 betrifft einen unzureichend geschützten Netzwerkmechanismus für Wartungszwecke. Unter bestimmten Gerätezuständen kann ein Angreifer im selben lokalen Netzwerk damit einen Remote-Debuggingdienst zugänglich machen. Diese Schnittstelle könnte anschließend die Wahrscheinlichkeit unbefugter administrativer Vorgänge erhöhen.

Die Schwachstelle erfordert Zugriff auf ein benachbartes Netzwerk. Ihr CVSS-v3.1-Score beträgt 3,1 LOW und spiegelt die hohe Angriffskomplexität wider, während der CVSS-v4.0-Score 2,3 LOW beträgt und im Vektor eine physische Angriffsanforderung enthält. Die genauen Gerätezustände, die für die Ausnutzung erforderlich sind, wurden nicht offengelegt.

Physischer Zugriff eröffnet weitreichendere Möglichkeiten.

Bei CVE-2026-81305 führt die Kamera automatisch ein vorgegebenes Skript von einem Wechseldatenträger aus, ohne dessen Authentizität oder Integrität zu überprüfen. Ein Angreifer, der vorbereitete Medien anschließen kann, kann dadurch bösartigen Code im Sicherheitskontext des Geräts ausführen.

Nach dem Erlangen des physischen Zugriffs sind weder ein Konto noch eine Benutzerinteraktion erforderlich. Die als CWE-829 klassifizierte Schwachstelle könnte die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Sie ist nach CVSS v3.1 mit 6,8 MEDIUM und nach CVSS v4.0 mit 7,0 HIGH bewertet.

CVE-2026-85478 legt über eine physische Debugging-Schnittstelle einen interaktiven Bootloader ohne Authentifizierung offen. Ein Angreifer kann den normalen Startvorgang unterbrechen sowie die Boot-Konfiguration, Firmware-Daten und von der Kamera geladene Software untersuchen oder verändern.

Diese Schwachstelle im Bootloader hat einen CVSS-v3.1-Score von 3,5 LOW und einen CVSS-v4.0-Score von 2,4 LOW. Obwohl die Scores niedriger sind als bei den aus der Ferne ausnutzbaren Schwachstellen, kann der Zugriff auf die Bootkette Analysen, Manipulationen und Persistenz ermöglichen, die von herkömmlichen Verwaltungsmechanismen möglicherweise nicht erkannt werden.

Unzureichender Schutz gespeicherter Daten gefährdet Root- und WLAN-Zugangsdaten

Die beiden höchsten CVSS-v4.0-Bewertungen betreffen auf der Kamera gespeicherte Geheimnisse.

CVE-2026-85497 ist auf die Verwendung eines fest hinterlegten Legacy-Hashs für das Passwort des Root-Kontos zurückzuführen. Der Hashing-Mechanismus verursacht keinen ausreichenden Rechenaufwand und bietet daher keinen angemessenen Schutz gegen Offline-Cracking.

Ein Angreifer, der das Firmware-Image oder die Passwortdatenbank erlangt, kann möglicherweise das zugrunde liegende Root-Passwort wiederherstellen. Wenn Kameras mit derselben Firmware identische oder wiederverwendete Zugangsdaten verwenden, könnte das ermittelte Passwort auch bei weiteren Geräten funktionieren.

Das Problem ist als CWE-916, Use of Password Hash With Insufficient Computational Effort, klassifiziert. Es erhielt 7,5 HIGH nach CVSS v3.1 und 9,3 CRITICAL nach CVSS v4.0. Bei der neueren Bewertung werden mögliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch eingestuft.

CVE-2026-81321 legt die Kennung des drahtlosen Netzwerks und den Pre-Shared Key offen, da die Kamera diese Daten im Klartext in ihrem Dateisystem speichert. Ein Angreifer muss zunächst Zugriff auf das Dateisystem erlangen, etwa durch physische Kontrolle, eine Debugging-Schnittstelle oder eine andere Schwachstelle.

Nach der Wiederherstellung könnten die Zugangsdaten Zugriff auf das von der Kamera verwendete drahtlose Netzwerk ermöglichen. Allein die Änderung des Administrationspassworts der Kamera würde diese zusätzliche Gefährdung nicht beheben.

Diese als CWE-312 klassifizierte Klartext-Speicherung ist ebenfalls mit 7,5 HIGH nach CVSS v3.1 und 9,3 CRITICAL nach CVSS v4.0 bewertet. Die gemeldeten netzwerkbasierten Vektoren spiegeln die Folgen des Erlangens und Verwendens der Geheimnisse wider, auch wenn der Abruf des Dateisystems einen separaten Zugangsweg erfordern kann.

Eine Verkettung der Schwachstellen könnte eine einzelne Kamera zum Ausgangspunkt für weitergehende Angriffe machen

Die sieben Erkenntnisse sind folgenreicher, wenn sie als miteinander verbundene Angriffswege statt als isolierte Fehler betrachtet werden.

Ein Angreifer aus der Ferne könnte zunächst über CVE-2026-88259 Live-Video ansehen oder über CVE-2026-84398 privilegierte ONVIF-Funktionen abfragen. Ein Angreifer, der sich bereits im lokalen Netzwerk befindet, könnte außerdem versuchen, den von CVE-2026-84400 betroffenen Debuggingdienst zugänglich zu machen.

Physischer Zugriff ermöglicht eine tiefgreifendere Kompromittierung. Über CVE-2026-81305 können manipulierte Wechseldatenträger eine Codeausführung auslösen, während der nicht authentifizierte Bootloader in CVE-2026-85478 die Untersuchung oder Veränderung von Komponenten auf niedriger Ebene erlaubt.

Diese Zugangswege könnten die Extraktion der Passwortdatenbank oder des Dateisystems erleichtern. Anschließend könnte der Angreifer den schwachen Root-Passwort-Hash aus CVE-2026-85497 knacken und über CVE-2026-81321 im Klartext gespeicherte WLAN-Zugangsdaten abrufen.

Die Folgen könnten über eine einzelne Kamera hinausgehen. Ein gemeinsam verwendetes Root-Passwort könnte weitere CM2507-Geräte mit denselben Firmware-Zugangsdaten gefährden, während ein wiederhergestellter drahtloser Pre-Shared Key Zugriff auf Systeme im zugehörigen Netzwerk ermöglichen könnte.

Keine korrigierte Firmware identifiziert

Mit Stand vom 16. September 2026 wurden weder ein Firmware-Update des Herstellers noch eine korrigierte Version oder eine produktspezifische Abhilfe identifiziert. Außerdem ist nicht bekannt, ob andere CM2507-Firmwareversionen als HMT.CM2507 Firmware v251211.1507 betroffen sind.

CISA empfiehlt, die Netzwerkexposition zu verringern und sicherzustellen, dass die Kameras nicht direkt aus dem Internet erreichbar sind. Kameranetzwerke sollten von Geschäftssystemen getrennt und hinter Firewalls platziert werden. Wo eine Fernverwaltung unvermeidbar ist, sollte der Zugriff über ein aktuelles VPN und streng kontrollierte Endgeräte erfolgen.

Organisationen sollten außerdem:

• Den Zugriff auf ONVIF-, Streaming- und Wartungsdienste einschränken.
• Auf unerwartete Videoverbindungen und ONVIF-Anfragen überwachen.
• Neu zugänglich gemachte Debuggingdienste oder ungewöhnlichen Wartungsverkehr erkennen.
• Die Verwendung von Wechseldatenträgern kontrollieren und Kameras auf unbefugte Anschlüsse überprüfen.
• Debugging-Anschlüsse, den Bootloader-Zugriff und Netzwerkgeräte in der Nähe schützen.
• Auf Änderungen an Firmware, Software oder der Boot-Konfiguration achten.
• Firmware-Images, Dateisysteme und Passwortdatenbanken als vertrauliches Material behandeln.
• Drahtlose Pre-Shared Keys und möglicherweise offengelegte administrative Zugangsdaten ändern.
• Prüfen, ob ein Zugangsschlüssel bei mehreren Kameras verwendet wird.

Da CVE-2026-81321 einen Netzwerkschlüssel offenlegen kann, sollte die Rotation der Zugangsdaten die drahtlose Infrastruktur und nicht nur das betroffene Gerät umfassen.

Ausnutzungsstatus weiterhin unklar

Der CISA-Hinweis zu den Schwachstellen in CareCam CM2507 nennt keine Aktivitäten zur öffentlichen Ausnutzung. Außerdem wird dort nicht angegeben, dass eine der sieben CVEs in den Katalog der Known Exploited Vulnerabilities von CISA aufgenommen wurde. Daher ist weder ein KEV-Aufnahmedatum noch eine Frist für die Behebung durch Bundesbehörden bekannt.

Organisationen sollten das Fehlen bekannt gewordener Ausnutzung nicht als Beleg dafür betrachten, dass exponierte Kameras sicher sind. Zwei Schwachstellen erfordern lediglich Netzwerkzugriff und keine Zugangsdaten, während die Schwachstellen im Bereich des physischen Zugriffs und der Speicherung von Zugangsdaten mehrere Wege zu einer tiefergehenden Kompromittierung eröffnen, sobald ein Angreifer das Gerät erreicht.