Una credencial codificada en el bootloader expone la cámara CareCam Pro al control total del dispositivo

Una credencial codificada en la cámara IP CareCam Pro ANJIA AJL33PC0801 puede permitir que cualquiera con acceso físico obtenga privilegios de control sobre el bootloader del dispositivo. Ese acceso puede utilizarse para modificar el firmware, alterar la configuración del sistema y, potencialmente, comprometer por completo la cámara.

CISA documentó la vulnerabilidad como CVE-2026-85083 en el aviso ICSA-26-251-01, publicado inicialmente el 8 de septiembre de 2026. La agencia señala que la vulnerabilidad no puede explotarse de forma remota y que, cuando se publicó el aviso, no había recibido informes de explotación pública dirigida específicamente contra este fallo.

El requisito de acceso físico limita el alcance de los posibles ataques. Sin embargo, no reduce las consecuencias una vez que un atacante alcanza el mecanismo vulnerable de autenticación del bootloader.

Se ha confirmado la afectación de un modelo y una compilación de firmware

La vulnerabilidad afecta al siguiente equipo de CareCam:

• Proveedor: CareCam
• Familia de productos: cámaras IP CareCam Pro
• Modelo: ANJIA AJL33PC0801
• Firmware: linux_linux_202008261138_svn13796_/_Bootloader_U-Boot_2010.06_compiled_2020-08-26
• Estado: known_affected
• Vulnerabilidad: CVE-2026-85083
• Debilidad: CWE-798, uso de credenciales codificadas

No se ha identificado ninguna otra versión de firmware ni ningún otro modelo de CareCam como vulnerable. Del mismo modo, no se ha divulgado ninguna versión de firmware corregida, por lo que los operadores no deben asumir que una compilación diferente es segura salvo que CareCam lo confirme explícitamente.

Las cámaras afectadas están desplegadas en todo el mundo. CISA asocia estos equipos al sector de Commercial Facilities e identifica China como el país donde se encuentra la sede del proveedor.

El aviso no revela la credencial integrada. Tampoco describe la interfaz física exacta, los pasos para desmontar el dispositivo ni las herramientas de hardware necesarias para acceder al bootloader. Estas omisiones reducen la disponibilidad inmediata de instrucciones de explotación, pero no eliminan la debilidad subyacente.

La credencial elude la autenticación del bootloader

CVE-2026-85083 existe porque la ANJIA AJL33PC0801 contiene una credencial fija utilizada para autenticar el acceso a su bootloader. Un secreto integrado en el firmware del dispositivo o en sus componentes de arranque no puede proporcionar una autenticación sólida específica para cada dispositivo, especialmente si el mismo valor se comparte entre varias unidades.

El atacante debe obtener primero acceso físico a la cámara. No se necesita ninguna cuenta existente ni privilegios en el sistema, y la explotación no depende de que un usuario abra un archivo, apruebe una solicitud o realice cualquier otra acción.

Después de autenticarse con la credencial codificada, el atacante puede acceder a funciones privilegiadas del bootloader. CISA identifica varias acciones posibles:

• Modificar el firmware de la cámara
• Cambiar la configuración del sistema
• Interferir en el funcionamiento normal del dispositivo
• Tomar el control total de la unidad afectada

El acceso al nivel del bootloader es especialmente sensible porque este se ejecuta antes que el sistema operativo principal. Los cambios realizados en esa fase pueden subvertir el software que se cargue posteriormente o reemplazarlo por completo. La modificación del firmware también podría dificultar la eliminación de cambios maliciosos mediante los restablecimientos de configuración habituales, aunque el aviso no especifica si esta cámara ofrece secure-boot o mecanismos de integridad del firmware.

Un compromiso exitoso podría afectar a las tres propiedades principales de seguridad de la cámara: confidencialidad, integridad y disponibilidad. El aviso no detalla las capacidades posteriores a la explotación específicas de la cámara, por lo que se desconoce si un atacante podría extraer directamente grabaciones, manipular las transmisiones de vídeo, recuperar credenciales almacenadas o avanzar hacia sistemas adyacentes.

El acceso físico mantiene el ataque en el ámbito local, pero no lo hace inofensivo

CISA afirma explícitamente que CVE-2026-85083 no puede explotarse de forma remota. Un atacante desde internet no puede activar directamente el fallo del bootloader a través de la red en las condiciones de ataque documentadas.

La diferencia es importante. Las organizaciones no se enfrentan al mismo riesgo de escaneo masivo asociado a una interfaz web expuesta o a una vulnerabilidad de inyección de comandos accesible de forma remota.

Los escenarios más plausibles afectan a cámaras instaladas en lugares donde personas ajenas, contratistas, visitantes o empleados no autorizados pueden manipularlas. Los dispositivos situados en pasillos de acceso público, comercios, aparcamientos, instalaciones temporales o salas de equipos con controles deficientes pueden estar más expuestos que las cámaras instaladas dentro de ubicaciones restringidas.

El fallo presenta una baja complejidad de ataque una vez obtenido el acceso físico. Ambos sistemas de puntuación indican que la explotación no requiere privilegios previos ni interacción del usuario:

• CVSS v3.1: 6,8, Media
  CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVSS v4.0: 7,0, Alta
  CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Las puntuaciones reflejan un equilibrio importante: el atacante debe llegar físicamente a la cámara, pero la explotación exitosa puede tener un impacto elevado en el dispositivo vulnerable.

En CVSS v4.0 no se asigna ningún impacto sobre sistemas posteriores. Esto no demuestra que el movimiento lateral sea imposible; significa que esas consecuencias posteriores no están acreditadas en la evaluación.

No se ha informado de explotación pública ni de una corrección específica del producto

En el momento de publicar el aviso, CISA no había recibido informes de explotación pública conocida dirigida específicamente contra CVE-2026-85083. El investigador de seguridad Omkar Mali notificó la vulnerabilidad a la agencia.

La información disponible no identifica CVE-2026-85083 como una entrada del catálogo de vulnerabilidades explotadas conocidas de CISA. Por consiguiente, no se ha proporcionado ninguna fecha de inclusión en KEV ni ningún plazo federal de corrección. Un aviso de CISA ICS no debe considerarse por sí mismo una prueba de que una vulnerabilidad está siendo explotada activamente.

CareCam no ha identificado ningún parche, versión de firmware corregida, proceso de rotación de credenciales ni solución alternativa específica para el producto. También se desconoce si la credencial integrada puede deshabilitarse mediante la configuración.

No se han publicado indicadores de compromiso asociados al fallo. Por tanto, los defensores no pueden recurrir a un hash de archivo, una cadena de comandos, una dirección de red o un evento de registro estandarizado conocidos para detectar la explotación.

Los operadores deben priorizar el control físico y la integridad de los dispositivos

Hasta que haya una corrección de firmware verificada, la seguridad física es la medida compensatoria más directa. Las organizaciones deben inventariar las cámaras ANJIA AJL33PC0801, registrar sus compilaciones de firmware e identificar las unidades instaladas en lugares donde sea plausible que personas no autorizadas puedan manipularlas.

El acceso a las cámaras y a los equipos de control asociados debe limitarse al personal autorizado. Los operadores también deben inspeccionar los dispositivos expuestos en busca de signos de apertura, sustitución, cableado inesperado, precintos rotos o cambios de configuración inexplicables.

El aislamiento de red sigue siendo útil aunque la vía vulnerable sea local. Las redes de las cámaras y de los sistemas de control deben separarse de los sistemas corporativos, protegerse mediante firewalls y mantenerse fuera de internet pública. Estas medidas pueden limitar las capacidades de una cámara ya comprometida y reducir las oportunidades de utilizarla como punto de apoyo.

Cuando la administración remota sea operativamente necesaria, las organizaciones deben utilizar tecnología VPN mantenida y proteger los endpoints que se conecten a través de ella. Una VPN no protege una cámara frente a alguien que pueda acceder físicamente a su bootloader.

Los defensores también deben considerar:

1. Comparar el firmware y la configuración actuales con referencias de confianza conocidas.
2. Investigar reinicios, restablecimientos, interrupciones del servicio o cambios de configuración inexplicables.
3. Revisar el tráfico de red de las cámaras afectadas para detectar nuevos destinos o protocolos inusuales.
4. Sustituir un dispositivo si no puede establecerse la integridad de su firmware después de un posible acceso físico.
5. Realizar una evaluación del impacto operativo antes de cambiar las rutas de red o la configuración de las cámaras.
6. Seguir los procedimientos establecidos de respuesta ante incidentes e informar a CISA de cualquier actividad maliciosa sospechosa.

Las medidas generales contra el phishing y la ingeniería social siguen siendo adecuadas para el entorno en general, pero no abordan la causa raíz de CVE-2026-85083. En esta vulnerabilidad, el problema central es una autenticación fija del bootloader combinada con un acceso físico no autorizado. Hasta que CareCam proporcione una solución validada, las organizaciones deben gestionar esta exposición mediante restricciones de acceso, segmentación, supervisión y comprobaciones minuciosas de integridad.