Una credenziale hard-coded nel bootloader espone la telecamera CareCam Pro alla presa di controllo completa del dispositivo

Una credenziale hard-coded nella telecamera IP CareCam Pro ANJIA AJL33PC0801 può consentire a chiunque disponga di accesso fisico di ottenere il controllo privilegiato del bootloader del dispositivo. Questo accesso può essere utilizzato per modificare il firmware, alterare le impostazioni di sistema e compromettere potenzialmente l’intera telecamera.

CISA ha documentato la vulnerabilità come CVE-2026-85083 nell’advisory ICSA-26-251-01, pubblicato inizialmente l’8 settembre 2026. L’agenzia afferma che la vulnerabilità non è sfruttabile da remoto e che, al momento della pubblicazione dell’advisory, non aveva ricevuto segnalazioni di sfruttamento pubblico mirato specificamente a questo difetto.

Il requisito dell’accesso fisico limita la portata dei possibili attacchi. Tuttavia, non ne riduce le conseguenze una volta che l’attaccante raggiunge il meccanismo di autenticazione vulnerabile del bootloader.

Confermati come vulnerabili un solo modello di telecamera e una sola build del firmware

La vulnerabilità interessa il seguente dispositivo CareCam:

• Vendor: CareCam
• Product family: CareCam Pro IP Cameras
• Model: ANJIA AJL33PC0801
• Firmware: linux_linux_202008261138_svn13796_/_Bootloader_U-Boot_2010.06_compiled_2020-08-26
• Status: known_affected
• Vulnerability: CVE-2026-85083
• Weakness: CWE-798, Use of Hard-coded Credentials

Non sono stati identificati altri modelli CareCam o altre versioni del firmware vulnerabili. D’altra parte, non è stata resa nota alcuna versione corretta del firmware; gli operatori non dovrebbero quindi presumere che una build diversa sia sicura, a meno che CareCam non lo confermi esplicitamente.

Le telecamere interessate sono distribuite in tutto il mondo. CISA associa questi dispositivi al settore delle Commercial Facilities e indica la sede del vendor in Cina.

L’advisory non divulga la credenziale incorporata. Inoltre, non descrive l’interfaccia fisica precisa, le procedure per smontare il dispositivo o gli strumenti hardware necessari per raggiungere il bootloader. Queste omissioni riducono la disponibilità immediata di istruzioni per lo sfruttamento, ma non eliminano la debolezza sottostante.

La credenziale aggira l’autenticazione del bootloader

CVE-2026-85083 esiste perché l’ANJIA AJL33PC0801 contiene una credenziale fissa utilizzata per autenticare l’accesso al bootloader. Un segreto incorporato nel firmware del dispositivo o nei componenti di avvio non può garantire un’autenticazione robusta specifica per ciascun dispositivo, soprattutto se lo stesso valore è condiviso tra più unità.

L’attaccante deve innanzitutto ottenere l’accesso fisico alla telecamera. Non sono necessari account o privilegi di sistema preesistenti e lo sfruttamento non dipende dall’apertura di un file, dall’approvazione di una richiesta o da un’altra azione da parte dell’utente.

Dopo essersi autenticato con la credenziale hard-coded, l’attaccante può accedere alle funzioni privilegiate del bootloader. CISA individua diverse possibili azioni:

• Modificare il firmware della telecamera
• Cambiare la configurazione di sistema
• Interferire con il normale funzionamento del dispositivo
• Assumere il controllo completo dell’unità interessata

L’accesso a livello di bootloader è particolarmente sensibile perché il bootloader viene eseguito prima del sistema operativo principale. Le modifiche apportate in questa fase possono compromettere il software caricato successivamente o sostituirlo del tutto. La modifica del firmware potrebbe inoltre rendere più difficile rimuovere le alterazioni malevole tramite i normali reset della configurazione, anche se l’advisory non specifica se questa telecamera disponga di funzionalità secure-boot o di protezione dell’integrità del firmware.

Una compromissione riuscita potrebbe incidere su tutte e tre le principali proprietà di sicurezza della telecamera: riservatezza, integrità e disponibilità. L’advisory non descrive le capacità post-sfruttamento specifiche per questo dispositivo; non è quindi noto se l’attaccante possa estrarre direttamente le registrazioni, manipolare i flussi video, recuperare le credenziali memorizzate o usare la telecamera come punto di ingresso verso sistemi adiacenti.

L’accesso fisico mantiene locale l’attacco, ma non lo rende innocuo

CISA afferma esplicitamente che CVE-2026-85083 non è sfruttabile da remoto. Un attaccante su Internet non può attivare direttamente la vulnerabilità del bootloader tramite la rete nelle condizioni di attacco documentate.

La distinzione è importante. Le organizzazioni non devono affrontare lo stesso rischio di scansioni su larga scala associato a un’interfaccia web esposta o a una vulnerabilità di command injection raggiungibile da remoto.

Gli scenari più credibili riguardano le telecamere installate in luoghi in cui estranei, fornitori, visitatori o dipendenti non autorizzati possono maneggiarle. I dispositivi collocati in corridoi accessibili al pubblico, esercizi commerciali, aree di parcheggio, strutture temporanee o locali tecnici scarsamente controllati possono essere più esposti rispetto alle telecamere installate all’interno di siti ad accesso limitato.

La vulnerabilità presenta una bassa complessità di attacco una volta ottenuto l’accesso fisico. Entrambi i sistemi di valutazione rilevano che per lo sfruttamento non sono necessari privilegi preesistenti né l’interazione dell’utente:

• CVSS v3.1: 6,8, Media
  CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• CVSS v4.0: 7,0, Alta
  CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

I punteggi riflettono un equilibrio importante: l’attaccante deve raggiungere fisicamente la telecamera, ma lo sfruttamento riuscito può avere un impatto elevato sul dispositivo vulnerabile.

Secondo CVSS v4.0, non viene attribuito alcun impatto ai sistemi successivi. Questo non dimostra che il movimento laterale sia impossibile; significa che tali conseguenze a valle non sono state stabilite nella valutazione.

Nessuno sfruttamento pubblico né correzioni specifiche del prodotto sono stati segnalati

Al momento della pubblicazione dell’advisory, CISA non aveva ricevuto segnalazioni di sfruttamento pubblico noto mirato specificamente a CVE-2026-85083. Il ricercatore di sicurezza Omkar Mali ha segnalato la vulnerabilità all’agenzia.

Le informazioni disponibili non indicano CVE-2026-85083 come voce del catalogo CISA delle vulnerabilità sfruttate note. Di conseguenza, non sono state fornite né una data di inserimento nel catalogo KEV né una scadenza per la remediation delle amministrazioni federali. Un advisory CISA ICS non deve essere considerato di per sé una prova che una vulnerabilità sia oggetto di sfruttamento attivo.

CareCam non ha indicato una patch, una versione corretta del firmware, una procedura per la rotazione delle credenziali o una soluzione alternativa specifica per il prodotto. Non è inoltre noto se la credenziale incorporata possa essere disabilitata tramite configurazione.

Non sono stati pubblicati indicatori di compromissione associati alla vulnerabilità. I responsabili della difesa non possono quindi fare affidamento su un hash di file, una stringa di comando, un indirizzo di rete o un evento di log standardizzato noti per rilevare lo sfruttamento.

Gli operatori devono dare priorità al controllo fisico e all’integrità dei dispositivi

In attesa della disponibilità di una correzione del firmware verificata, la sicurezza fisica rappresenta la misura compensativa più diretta. Le organizzazioni dovrebbero censire le telecamere ANJIA AJL33PC0801, registrare le relative build del firmware e individuare le unità installate in luoghi in cui sia plausibile un accesso non autorizzato.

L’accesso alle telecamere e alle apparecchiature di controllo associate dovrebbe essere limitato al personale autorizzato. Gli operatori dovrebbero inoltre ispezionare i dispositivi esposti alla ricerca di segni di apertura, sostituzioni, cablaggi insoliti, sigilli danneggiati o modifiche della configurazione prive di spiegazione.

L’isolamento di rete resta utile anche se il vettore vulnerabile è locale. Le reti delle telecamere e dei sistemi di controllo dovrebbero essere separate dai sistemi aziendali, protette da firewall e mantenute fuori dalla rete Internet pubblica. Questo può limitare le capacità di una telecamera già compromessa e ridurre le possibilità di utilizzarla come punto di ingresso.

Quando l’amministrazione remota è necessaria per motivi operativi, le organizzazioni dovrebbero utilizzare tecnologie VPN aggiornate e proteggere gli endpoint che vi si connettono. Una VPN non protegge una telecamera da chi può accedere fisicamente al suo bootloader.

I responsabili della difesa dovrebbero inoltre:

1. Confrontare il firmware e la configurazione correnti con baseline verificate come integre.
2. Analizzare riavvii, reset, interruzioni del servizio o modifiche della configurazione privi di spiegazione.
3. Esaminare il traffico di rete generato dalle telecamere interessate alla ricerca di nuove destinazioni o protocolli insoliti.
4. Sostituire un dispositivo se non è possibile verificarne l’integrità del firmware dopo un sospetto accesso fisico.
5. Valutare l’impatto operativo prima di modificare i percorsi di rete o le configurazioni delle telecamere.
6. Seguire le procedure consolidate di risposta agli incidenti e segnalare a CISA le attività sospette o potenzialmente malevole.

Le misure generali di difesa dal phishing e dall’ingegneria sociale restano appropriate per l’ambiente più ampio, ma non affrontano la causa principale di CVE-2026-85083. In questo caso, il problema centrale è l’autenticazione fissa del bootloader combinata con un accesso fisico non autorizzato. Finché CareCam non fornirà una remediation convalidata, le organizzazioni dovranno gestire questa esposizione attraverso restrizioni di accesso, segmentazione, monitoraggio e controlli accurati dell’integrità.