Les failles des caméras CareCam ouvrent la voie à la vidéo en direct, à l’accès root et au vol des identifiants Wi-Fi

Sept vulnérabilités affectant la caméra IP CareCam CM2507 exposent des fonctions allant de la diffusion vidéo sans authentification à l’exécution de code arbitraire et à la récupération des identifiants des réseaux sans fil.

Le produit concerné utilise CareCam HMT.CM2507 Firmware v251211.1507, classé known_affected. Aucune version corrigée du firmware ni mesure de contournement fournie par le fabricant n’a été identifiée.

Ces faiblesses concernent différents périmètres de confiance. Certaines sont exploitables à distance sans identifiants, tandis que d’autres nécessitent un accès au réseau local, au système de fichiers ou un contrôle physique de la caméra. Exploitées conjointement, elles pourraient permettre à un attaquant de passer de la surveillance et de l’accès aux fonctions d’administration à la compromission persistante de l’appareil, voire à l’intrusion dans le réseau sans fil auquel il est connecté.

CareCam a son siège en Chine. Ses caméras sont déployées dans le monde entier et sont associées au secteur des infrastructures critiques des installations commerciales. Ben Law a signalé ces vulnérabilités à la CISA.

Deux failles réseau exposent la vidéo et les fonctions d’administration privilégiées

Les risques les plus immédiats proviennent de services accessibles sur le réseau sans authentification valide.

CVE-2026-88259 affecte le service de diffusion vidéo réseau de la caméra. La CM2507 fournit une vidéo en direct sans vérifier au préalable l’identité du demandeur, ce qui permet à toute personne pouvant accéder au service de récupérer le flux de la caméra.

La faille est classée CWE-306, Missing Authentication for Critical Function. Elle a obtenu un score CVSS v3.1 de 7,5 HIGH et un score CVSS v4.0 de 8,7 HIGH. Son exploitation ne nécessite ni privilèges, ni interaction de l’utilisateur, ni conditions inhabituelles.

Il en résulte une perte directe de confidentialité des images vidéo. Selon l’emplacement de la caméra, un flux exposé pourrait révéler les occupants, les habitudes de travail, les dispositifs de sécurité physique ou l’activité au sein d’une installation commerciale.

CVE-2026-84398 constitue une autre voie d’accès au service d’administration ONVIF. Un compte privilégié accepte un mot de passe vide, permettant à un attaquant présent sur le réseau d’accéder aux fonctions d’administration sans connaître les identifiants.

Ce compte peut permettre à un attaquant d’obtenir des informations sur l’appareil, les utilisateurs configurés, les profils multimédias et les paramètres de diffusion. Cette vulnérabilité est classée CWE-258, Empty Password in Configuration File, et obtient les mêmes scores que la faille vidéo : 7,5 HIGH selon CVSS v3.1 et 8,7 HIGH selon CVSS v4.0.

Ces vulnérabilités ne dépendent ni d’une campagne d’hameçonnage ni d’une autre action de l’utilisateur. La principale condition d’exploitation est l’accessibilité du réseau.

Les interfaces de maintenance et les accès physiques élargissent la surface d’attaque

Trois autres vulnérabilités exposent des fonctions de débogage, de supports amovibles et de bootloader.

CVE-2026-84400 concerne un mécanisme de maintenance réseau insuffisamment protégé. Dans certaines conditions liées à l’état de l’appareil, un attaquant présent sur le même réseau local peut l’utiliser pour rendre accessible un service de débogage à distance. Cette interface pourrait alors faciliter des opérations d’administration non autorisées.

Cette faille nécessite un accès au réseau adjacent. Son score CVSS v3.1 est de 3,1 LOW, en raison d’une complexité d’attaque élevée, tandis que son score CVSS v4.0 est de 2,3 LOW et inclut une exigence d’accès physique dans le vecteur. Les conditions précises liées à l’état de l’appareil nécessaires à l’exploitation n’ont pas été divulguées.

L’accès physique offre des possibilités de compromission plus importantes.

Avec CVE-2026-81305, la caméra exécute automatiquement un script prédéfini présent sur un support amovible sans en vérifier l’authenticité ni l’intégrité. Un attaquant capable de connecter un support préparé peut donc exécuter du code malveillant dans le contexte de sécurité de l’appareil.

Aucun compte ni aucune interaction de l’utilisateur n’est nécessaire une fois l’accès physique obtenu. La vulnérabilité, classée CWE-829, pourrait compromettre la confidentialité, l’intégrité et la disponibilité. Elle est évaluée à 6,8 MEDIUM selon CVSS v3.1 et à 7,0 HIGH selon CVSS v4.0.

CVE-2026-85478 expose un bootloader interactif par l’intermédiaire d’une interface de débogage physique, sans authentification. Un attaquant peut interrompre la séquence de démarrage normale et inspecter ou modifier la configuration de démarrage, les données du firmware et les logiciels chargés par la caméra.

Cette faiblesse du bootloader obtient un score CVSS v3.1 de 3,5 LOW et un score CVSS v4.0 de 2,4 LOW. Bien que ses scores soient inférieurs à ceux des failles exploitables à distance, l’accès à la chaîne de démarrage peut faciliter l’analyse, la modification et la persistance, autant d’actions que les contrôles d’administration classiques pourraient ne pas détecter.

Des protections de stockage faibles exposent l’accès root et les identifiants Wi-Fi

Les deux scores CVSS v4.0 les plus élevés concernent des secrets stockés sur la caméra.

CVE-2026-85497 résulte de l’utilisation d’un condensat hérité fixe pour le mot de passe du compte root. Le mécanisme de hachage n’impose pas un coût de calcul suffisant pour offrir une résistance adéquate au cassage hors ligne.

Un attaquant qui obtient l’image du firmware ou la base de données des mots de passe peut retrouver l’identifiant root d’origine. Si les caméras utilisant le même firmware emploient des identifiants identiques ou réutilisés, le mot de passe récupéré pourrait également fonctionner sur d’autres appareils.

Cette vulnérabilité est classée CWE-916, Use of Password Hash With Insufficient Computational Effort. Elle a obtenu 7,5 HIGH selon CVSS v3.1 et 9,3 CRITICAL selon CVSS v4.0, la nouvelle évaluation considérant comme élevés les effets potentiels sur la confidentialité, l’intégrité et la disponibilité.

CVE-2026-81321 expose l’identifiant du réseau sans fil et la clé prépartagée, car la caméra les stocke en clair dans son système de fichiers. L’attaquant doit d’abord obtenir un accès au système de fichiers, potentiellement par le contrôle physique de l’appareil, une interface de débogage ou une autre vulnérabilité.

Une fois récupérés, ces identifiants pourraient permettre d’accéder au réseau sans fil utilisé par la caméra. La seule modification du mot de passe d’administration de la caméra ne suffirait pas à corriger cette exposition secondaire.

Cette faille de stockage en clair, classée CWE-312, est également évaluée à 7,5 HIGH selon CVSS v3.1 et à 9,3 CRITICAL selon CVSS v4.0. Les vecteurs réseau indiqués reflètent les conséquences de l’obtention et de l’utilisation des secrets, même si la récupération du système de fichiers peut nécessiter une autre voie d’accès.

L’enchaînement des failles pourrait transformer une caméra en point d’appui plus large

Les sept vulnérabilités sont plus lourdes de conséquences lorsqu’on les considère comme des chemins d’attaque liés plutôt que comme des défauts isolés.

Un attaquant distant pourrait commencer par visionner la vidéo en direct grâce à CVE-2026-88259 ou interroger les fonctions ONVIF privilégiées via CVE-2026-84398. Un attaquant déjà présent sur le réseau local pourrait également tenter d’exposer le service de débogage affecté par CVE-2026-84400.

L’accès physique permet une compromission plus profonde. Un support amovible malveillant peut déclencher l’exécution de code via CVE-2026-81305, tandis que le bootloader non authentifié de CVE-2026-85478 permet d’inspecter ou de modifier des composants bas niveau de l’appareil.

Ces voies d’accès peuvent faciliter l’extraction de la base de données des mots de passe ou du système de fichiers. L’attaquant pourrait ensuite casser le condensat faible du mot de passe root couvert par CVE-2026-85497 et récupérer les identifiants Wi-Fi stockés en clair via CVE-2026-81321.

Les conséquences peuvent dépasser le cadre d’une seule caméra. Un mot de passe root partagé pourrait exposer d’autres appareils CM2507 utilisant les mêmes identifiants de firmware, tandis qu’une clé Wi-Fi prépartagée récupérée pourrait permettre d’accéder aux systèmes présents sur le réseau associé.

Aucun firmware correctif n’a été identifié

Au 16 septembre 2026, aucune mise à jour du firmware, version corrigée ou mesure de contournement spécifique au produit n’a été identifiée. On ignore également si des versions du firmware CM2507 autres que HMT.CM2507 Firmware v251211.1507 sont concernées.

La CISA recommande de réduire l’exposition réseau et de veiller à ce que les caméras ne soient pas directement accessibles depuis Internet. Les réseaux de caméras doivent être séparés des systèmes métiers et placés derrière des pare-feu. Lorsque l’administration à distance est indispensable, l’accès doit passer par un VPN à jour et des points de terminaison strictement contrôlés.

Les organisations doivent également :

• Restreindre l’accès aux services ONVIF, de diffusion vidéo et de maintenance.
• Surveiller les connexions vidéo et les requêtes ONVIF inattendues.
• Détecter l’apparition de services de débogage ou un trafic de maintenance anormal.
• Contrôler l’utilisation des supports amovibles et inspecter les caméras afin de repérer tout branchement non autorisé.
• Protéger les connecteurs de débogage, l’accès au bootloader et les équipements réseau situés à proximité.
• Surveiller les modifications du firmware, des logiciels ou de la configuration de démarrage.
• Traiter les images du firmware, les systèmes de fichiers et les bases de données de mots de passe comme des éléments sensibles.
• Renouveler les clés Wi-Fi prépartagées et les identifiants d’administration potentiellement exposés.
• Vérifier si un même identifiant est partagé entre plusieurs caméras.

Comme CVE-2026-81321 peut révéler une clé réseau, la rotation des identifiants doit couvrir l’infrastructure sans fil et pas uniquement l’appareil concerné.

Le statut d’exploitation reste incertain

L’avis de la CISA concernant les vulnérabilités de la CareCam CM2507 ne fait état d’aucune exploitation publique. Il n’indique pas non plus que l’un des sept CVE a été ajouté au catalogue des vulnérabilités exploitées connues de la CISA. Aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’est donc connue.

Les organisations ne doivent pas considérer l’absence d’exploitation signalée comme la preuve que les caméras exposées sont sécurisées. Deux failles nécessitent uniquement un accès réseau et aucun identifiant, tandis que les faiblesses liées à l’accès physique et au stockage des identifiants offrent plusieurs voies de compromission plus profonde dès qu’un attaquant atteint l’appareil.