Le falle delle telecamere CareCam aprono la strada a video in diretta, accesso root e furto delle credenziali Wi-Fi

Sette vulnerabilità nella telecamera IP CareCam CM2507 espongono funzionalità che vanno dallo streaming video senza autenticazione all’esecuzione di codice arbitrario e al recupero delle credenziali della rete wireless.

Il prodotto interessato esegue CareCam HMT.CM2507 Firmware v251211.1507, classificato come known_affected. Non è stata identificata alcuna versione corretta del firmware né una soluzione temporanea fornita dal produttore.

Le vulnerabilità interessano diversi confini di trust. Alcune possono essere sfruttate da remoto senza credenziali, mentre altre richiedono la raggiungibilità dalla rete locale, l’accesso al filesystem o il controllo fisico della telecamera. Sfruttate insieme, potrebbero consentire a un attaccante di passare dalla sorveglianza e dall’accesso alle funzioni di gestione alla compromissione persistente del dispositivo o all’intrusione nella rete wireless connessa.

CareCam ha sede in Cina. Le sue telecamere sono distribuite in tutto il mondo e rientrano nel settore delle infrastrutture critiche Commercial Facilities. Ben Law ha segnalato i risultati a CISA.

Due falle di rete espongono video e funzioni di gestione privilegiate

I rischi più immediati derivano dai servizi raggiungibili via rete senza autenticazione valida.

CVE-2026-88259 interessa il servizio di streaming video di rete della telecamera. Il CM2507 fornisce video in diretta senza verificare prima l’identità del richiedente, consentendo a chiunque riesca a raggiungere il servizio di recuperare il flusso video della telecamera.

La vulnerabilità è classificata come CWE-306, Missing Authentication for Critical Function. Ha ricevuto un punteggio CVSS v3.1 di 7,5 HIGH e un punteggio CVSS v4.0 di 8,7 HIGH. Per sfruttarla non sono richiesti privilegi, interazione dell’utente o condizioni insolite.

Il risultato è una perdita diretta della riservatezza del video. A seconda del luogo in cui è installata, una telecamera esposta potrebbe rivelare la presenza di persone, le loro abitudini, i sistemi di sicurezza fisica o le attività all’interno di una struttura commerciale.

CVE-2026-84398 crea un ulteriore accesso al servizio di gestione ONVIF. Un account privilegiato accetta una password vuota, consentendo a un attaccante presente in rete di accedere alle funzioni di gestione senza conoscere alcuna credenziale.

Attraverso questo account, un attaccante potrebbe ottenere informazioni sul dispositivo, sugli utenti configurati, sui profili multimediali e sulle impostazioni dello streaming. Il problema è classificato come CWE-258, Empty Password in Configuration File, e presenta gli stessi punteggi della vulnerabilità video: 7,5 HIGH secondo CVSS v3.1 e 8,7 HIGH secondo CVSS v4.0.

Per sfruttare queste vulnerabilità non servono phishing né altre azioni da parte dell’utente. Il requisito principale è la raggiungibilità dalla rete.

Interfacce di manutenzione e fisiche ampliano la superficie d’attacco

Altre tre vulnerabilità espongono funzionalità di debug, supporti rimovibili e bootloader.

CVE-2026-84400 riguarda un meccanismo di manutenzione di rete protetto in modo insufficiente. In determinate condizioni dello stato del dispositivo, un attaccante sulla stessa rete locale potrebbe utilizzarlo per rendere accessibile un servizio di debug remoto. Tale interfaccia potrebbe quindi aumentare la probabilità di operazioni amministrative non autorizzate.

La vulnerabilità richiede l’accesso alla rete adiacente. Il suo punteggio CVSS v3.1 è 3,1 LOW, a causa dell’elevata complessità dell’attacco, mentre il punteggio CVSS v4.0 è 2,3 LOW e include nel vettore il requisito di un attacco fisico. Non sono state divulgate le condizioni esatte dello stato del dispositivo necessarie per lo sfruttamento.

L’accesso fisico offre possibilità di compromissione più incisive.

Con CVE-2026-81305, la telecamera esegue automaticamente uno script prestabilito trovato su un supporto rimovibile senza verificarne autenticità o integrità. Un attaccante in grado di collegare un supporto preparato ad hoc può quindi eseguire codice dannoso nel contesto di sicurezza del dispositivo.

Dopo aver ottenuto l’accesso fisico, non sono necessari né un account né l’interazione dell’utente. La vulnerabilità, classificata come CWE-829, potrebbe compromettere riservatezza, integrità e disponibilità. Ha una valutazione di 6,8 MEDIUM secondo CVSS v3.1 e 7,0 HIGH secondo CVSS v4.0.

CVE-2026-85478 espone un bootloader interattivo attraverso un’interfaccia fisica di debug priva di autenticazione. Un attaccante può interrompere la normale sequenza di avvio e ispezionare o modificare la configurazione di boot, i dati del firmware e il software caricato dalla telecamera.

Questa vulnerabilità del bootloader ha un punteggio CVSS v3.1 di 3,5 LOW e un punteggio CVSS v4.0 di 2,4 LOW. Sebbene i punteggi siano inferiori a quelli delle falle remote, l’accesso alla catena di boot può favorire analisi, modifiche e persistenza che i normali controlli di gestione potrebbero non rilevare.

Protezioni di archiviazione deboli mettono a rischio root e credenziali Wi-Fi

I due punteggi CVSS v4.0 più elevati riguardano i segreti memorizzati nella telecamera.

CVE-2026-85497 deriva dall’uso di un hash legacy fisso per la password dell’account root. Il meccanismo di hashing non impone un costo computazionale sufficiente a garantire un’adeguata resistenza al cracking offline.

Un attaccante che ottenga l’immagine del firmware o il database delle password potrebbe recuperare la credenziale root sottostante. Se le telecamere che eseguono lo stesso firmware utilizzano credenziali identiche o riutilizzate, la password recuperata potrebbe funzionare anche su altri dispositivi.

Il problema è classificato come CWE-916, Use of Password Hash With Insufficient Computational Effort. Ha ricevuto 7,5 HIGH secondo CVSS v3.1 e 9,3 CRITICAL secondo CVSS v4.0; la valutazione più recente considera elevati i potenziali effetti su riservatezza, integrità e disponibilità.

CVE-2026-81321 espone l’identificativo della rete wireless e la chiave precondivisa perché la telecamera li memorizza in chiaro nel filesystem. Per prima cosa, l’attaccante deve ottenere l’accesso al filesystem, potenzialmente attraverso il controllo fisico, un’interfaccia di debug o un’altra vulnerabilità.

Una volta recuperate, le credenziali potrebbero consentire l’accesso alla rete wireless utilizzata dalla telecamera. La sola modifica della password amministrativa della telecamera non risolverebbe questa ulteriore esposizione.

Questa vulnerabilità di memorizzazione in chiaro, classificata come CWE-312, ha anch’essa una valutazione di 7,5 HIGH secondo CVSS v3.1 e 9,3 CRITICAL secondo CVSS v4.0. I vettori basati sulla rete riportati riflettono le conseguenze dell’ottenimento e dell’utilizzo dei segreti, anche se il recupero del filesystem può richiedere un percorso di accesso separato.

La combinazione delle falle potrebbe trasformare una telecamera in un punto d’appoggio più ampio

Le sette vulnerabilità hanno conseguenze più rilevanti se considerate come percorsi d’attacco collegati, anziché come difetti isolati.

Un attaccante remoto potrebbe iniziare guardando il video in diretta tramite CVE-2026-88259 o interrogando le funzioni ONVIF privilegiate tramite CVE-2026-84398. Un attaccante già presente sulla rete locale potrebbe inoltre tentare di esporre il servizio di debug interessato da CVE-2026-84400.

L’accesso fisico consente una compromissione più profonda. Un supporto rimovibile dannoso può attivare l’esecuzione di codice tramite CVE-2026-81305, mentre il bootloader privo di autenticazione di CVE-2026-85478 permette di ispezionare o modificare componenti a basso livello del dispositivo.

Questi percorsi di accesso potrebbero facilitare l’estrazione del database delle password o del filesystem. L’attaccante potrebbe quindi violare l’hash debole della password root interessato da CVE-2026-85497 e recuperare le credenziali Wi-Fi in chiaro tramite CVE-2026-81321.

Le conseguenze potrebbero estendersi oltre una singola telecamera. Una password root condivisa potrebbe esporre altri dispositivi CM2507 che utilizzano le stesse credenziali del firmware, mentre una chiave Wi-Fi precondivisa recuperata potrebbe consentire l’accesso ai sistemi presenti sulla rete associata.

Non è stato identificato alcun firmware correttivo

Al 16 settembre 2026, non sono stati identificati aggiornamenti del firmware, release correttive o soluzioni temporanee specifiche per il prodotto fornite dal produttore. Non è inoltre noto se siano interessate versioni del firmware CM2507 diverse da HMT.CM2507 Firmware v251211.1507.

CISA raccomanda di ridurre l’esposizione di rete e di assicurarsi che le telecamere non siano direttamente raggiungibili da Internet. Le reti delle telecamere dovrebbero essere separate dai sistemi aziendali e collocate dietro firewall. Quando l’amministrazione remota è inevitabile, l’accesso dovrebbe passare attraverso una VPN aggiornata e endpoint sottoposti a rigidi controlli.

Le organizzazioni dovrebbero inoltre:

• Limitare l’accesso ai servizi ONVIF, di streaming e di manutenzione.
• Monitorare le connessioni video e le richieste ONVIF inattese.
• Rilevare servizi di debug esposti di recente o traffico di manutenzione anomalo.
• Controllare l’uso dei supporti rimovibili e verificare che sulle telecamere non siano presenti collegamenti non autorizzati.
• Proteggere i connettori di debug, l’accesso al bootloader e le apparecchiature di rete nelle vicinanze.
• Monitorare le modifiche a firmware, software o configurazione di boot.
• Considerare immagini del firmware, filesystem e database delle password come materiale sensibile.
• Ruotare le chiavi Wi-Fi precondivise e le credenziali amministrative potenzialmente esposte.
• Verificare se una stessa credenziale è condivisa tra più telecamere.

Poiché CVE-2026-81321 può rivelare una chiave di rete, la rotazione delle credenziali dovrebbe riguardare l’infrastruttura wireless, non soltanto il dispositivo interessato.

Lo stato dello sfruttamento resta incerto

L’avviso di CISA sulle vulnerabilità di CareCam CM2507 non identifica attività di sfruttamento pubblicamente nota. Inoltre, non indica che una delle sette CVE sia stata aggiunta al catalogo Known Exploited Vulnerabilities di CISA; non sono quindi note né una data di inclusione nel catalogo KEV né una scadenza federale per la correzione.

Le organizzazioni non dovrebbero considerare l’assenza di sfruttamenti divulgati come una prova che le telecamere esposte siano sicure. Due vulnerabilità richiedono soltanto l’accesso alla rete e nessuna credenziale, mentre i problemi fisici e quelli relativi alla memorizzazione delle credenziali offrono diversi percorsi verso una compromissione più profonda una volta che l’attaccante raggiunge il dispositivo.