Un identifiant d’amorçage codé en dur expose la caméra CareCam Pro à une prise de contrôle complète

Un identifiant codé en dur dans la caméra IP CareCam Pro ANJIA AJL33PC0801 peut donner à toute personne disposant d’un accès physique un contrôle privilégié du bootloader de l’appareil. Cet accès peut servir à modifier le firmware, à altérer les paramètres système et, potentiellement, à compromettre complètement la caméra.

La CISA a documenté la faille sous l’identifiant CVE-2026-85083, dans l’avis ICSA-26-251-01, publié initialement le 8 septembre 2026. L’agence indique que la vulnérabilité n’est pas exploitable à distance et n’avait reçu aucun signalement d’exploitation publique visant spécifiquement cette faille au moment de la publication de l’avis.

L’obligation de disposer d’un accès physique limite le nombre d’attaques plausibles. Elle ne réduit toutefois pas les conséquences dès lors qu’un attaquant parvient à atteindre le mécanisme d’authentification vulnérable du bootloader.

Un seul modèle de caméra et une seule version du firmware sont confirmés comme vulnérables

La vulnérabilité concerne l’équipement CareCam suivant :

• Fournisseur : CareCam
• Gamme de produits : caméras IP CareCam Pro
• Modèle : ANJIA AJL33PC0801
• Firmware : linux_linux_202008261138_svn13796_/_Bootloader_U-Boot_2010.06_compiled_2020-08-26
• Statut : known_affected
• Vulnérabilité : CVE-2026-85083
• Faiblesse : CWE-798, Use of Hard-coded Credentials

Aucun autre modèle ni aucune autre version du firmware CareCam n’a été identifié comme vulnérable. En revanche, aucune version corrigée du firmware n’a été communiquée. Les opérateurs ne doivent donc pas considérer qu’une autre version est sûre, sauf confirmation explicite de CareCam.

Les caméras concernées sont déployées dans le monde entier. La CISA rattache cet équipement au secteur des Commercial Facilities et situe le siège du fournisseur en Chine.

L’avis ne révèle pas l’identifiant intégré au produit. Il ne décrit pas non plus précisément l’interface physique, les étapes de démontage de l’appareil ou l’outillage nécessaire pour atteindre le bootloader. Ces omissions limitent la disponibilité immédiate des instructions d’exploitation, mais ne suppriment pas la faiblesse sous-jacente.

L’identifiant permet de contourner l’authentification du bootloader

CVE-2026-85083 existe parce que l’ANJIA AJL33PC0801 contient un identifiant fixe utilisé pour authentifier l’accès à son bootloader. Un secret intégré au firmware ou aux composants d’amorçage ne peut pas fournir une authentification forte propre à chaque appareil, en particulier si la même valeur est partagée par plusieurs unités.

L’attaquant doit d’abord obtenir un accès physique à la caméra. Aucun compte ni privilège système existant n’est nécessaire, et l’exploitation ne dépend pas de l’ouverture d’un fichier, de la validation d’une invite ou d’une autre action de l’utilisateur.

Après s’être authentifié à l’aide de l’identifiant codé en dur, l’attaquant peut accéder aux fonctions privilégiées du bootloader. La CISA recense plusieurs actions possibles :

• Modifier le firmware de la caméra
• Modifier la configuration du système
• Perturber le fonctionnement normal de l’appareil
• Prendre le contrôle complet de l’unité concernée

L’accès au niveau du bootloader est particulièrement sensible, car celui-ci s’exécute avant le système d’exploitation principal. Les modifications effectuées à ce stade peuvent compromettre les logiciels chargés par la suite, voire les remplacer entièrement. Une modification du firmware pourrait également rendre les changements malveillants plus difficiles à supprimer au moyen de simples réinitialisations de la configuration, même si l’avis ne précise pas si cette caméra dispose de protections de type secure boot ou de mécanismes de vérification de l’intégrité du firmware.

Une compromission réussie pourrait affecter les trois propriétés fondamentales de sécurité de la caméra : la confidentialité, l’intégrité et la disponibilité. L’avis ne détaille pas les capacités post-exploitation propres à la caméra. On ignore donc si un attaquant pourrait extraire directement des enregistrements, manipuler les flux vidéo, récupérer des identifiants stockés ou se déplacer latéralement vers des systèmes voisins.

L’accès physique limite l’attaque au réseau local, mais ne la rend pas inoffensive

La CISA précise explicitement que CVE-2026-85083 n’est pas exploitable à distance. Un attaquant présent sur Internet ne peut pas déclencher directement la faille du bootloader via le réseau dans les conditions d’attaque décrites.

Cette distinction est importante. Les organisations ne sont pas exposées au même risque de balayage massif que celui associé à une interface web accessible ou à une vulnérabilité d’injection de commandes accessible à distance.

Les scénarios les plus crédibles concernent les caméras installées dans des lieux où des personnes extérieures, des prestataires, des visiteurs ou des employés non autorisés peuvent les manipuler. Les appareils placés dans des couloirs accessibles au public, des commerces, des parkings, des installations temporaires ou des locaux techniques mal sécurisés peuvent être davantage exposés que les caméras installées dans des sites à accès restreint.

La complexité de l’attaque est faible dès lors que l’accès physique est possible. Les deux systèmes de notation indiquent que l’exploitation ne nécessite ni privilèges préalables ni interaction de l’utilisateur :

• CVSS v3.1 : 6,8, Medium
  CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVSS v4.0 : 7,0, High
  CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Ces scores reflètent un équilibre important : l’attaquant doit pouvoir atteindre physiquement la caméra, mais une exploitation réussie peut avoir un impact élevé sur l’appareil vulnérable.

Avec CVSS v4.0, aucun impact sur les systèmes ultérieurs n’est retenu. Cela ne prouve pas qu’un déplacement latéral est impossible ; cela signifie que de telles conséquences en aval ne sont pas établies dans l’évaluation.

Aucune exploitation publique ni aucun correctif spécifique au produit n’ont été signalés

Au moment de la publication de l’avis, la CISA n’avait reçu aucun signalement d’exploitation publique connue visant spécifiquement CVE-2026-85083. Le chercheur en sécurité Omkar Mali a signalé la vulnérabilité à l’agence.

Les informations disponibles ne répertorient pas CVE-2026-85083 dans le catalogue des vulnérabilités exploitées connues de la CISA. Aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’a donc été communiquée. Un avis CISA ICS ne doit pas, à lui seul, être considéré comme la preuve qu’une vulnérabilité fait l’objet d’une exploitation active.

CareCam n’a identifié ni correctif, ni version corrigée du firmware, ni procédure de renouvellement de l’identifiant, ni mesure de contournement propre au produit. On ignore également si l’identifiant intégré peut être désactivé au moyen de la configuration.

Aucun indicateur de compromission associé à la faille n’a été publié. Les défenseurs ne peuvent donc pas s’appuyer sur une empreinte de fichier, une chaîne de commande, une adresse réseau ou un événement de journalisation standardisé connu pour détecter une exploitation.

Les opérateurs doivent donner la priorité au contrôle physique et à l’intégrité des appareils

Dans l’attente de la disponibilité d’un correctif firmware vérifié, la sécurité physique constitue la mesure compensatoire la plus directe. Les organisations doivent inventorier les caméras ANJIA AJL33PC0801, consigner leurs versions du firmware et identifier les unités installées dans des lieux où une manipulation non autorisée est plausible.

L’accès aux caméras et aux équipements de contrôle associés doit être limité au personnel habilité. Les opérateurs doivent également inspecter les appareils exposés afin de repérer d’éventuelles traces d’ouverture, de remplacement, de câblage inhabituel, de rupture de scellés ou de modifications inexpliquées de la configuration.

L’isolation réseau reste utile, même si le vecteur vulnérable est local. Les réseaux des caméras et des systèmes de contrôle doivent être séparés des systèmes métier, protégés par des pare-feu et maintenus hors de l’Internet public. Ces mesures peuvent contenir une caméra déjà compromise et réduire les possibilités de l’utiliser comme point d’appui.

Lorsque l’administration à distance est nécessaire à l’exploitation, les organisations doivent utiliser une technologie VPN maintenue à jour et sécuriser les terminaux qui s’y connectent. Un VPN ne protège pas une caméra contre une personne capable d’accéder physiquement à son bootloader.

Les défenseurs doivent également envisager les mesures suivantes :

1. Comparer le firmware et la configuration actuels à des référentiels de confiance connus.
2. Examiner les redémarrages, réinitialisations, interruptions de service ou modifications de configuration inexpliqués.
3. Analyser le trafic réseau provenant des caméras concernées afin de repérer de nouvelles destinations ou des protocoles inhabituels.
4. Remplacer un appareil si l’intégrité de son firmware ne peut pas être établie après un accès physique suspecté.
5. Réaliser une analyse de l’impact opérationnel avant de modifier les chemins réseau ou la configuration des caméras.
6. Suivre les procédures établies de réponse aux incidents et signaler toute activité malveillante suspectée à la CISA.

Les mesures générales de protection contre le phishing et l’ingénierie sociale restent adaptées à l’environnement global, mais elles ne traitent pas la cause première de CVE-2026-85083. Pour cette vulnérabilité, le problème central réside dans une authentification fixe du bootloader combinée à un accès physique non autorisé. Tant que CareCam n’aura pas fourni une remédiation validée, les organisations devront gérer cette exposition au moyen de restrictions d’accès, de la segmentation, de la supervision et de contrôles rigoureux de l’intégrité.