CVE-2026-82448: Hardkodet nøgle i Shinobi-videoovervågning

Shinobi er et open source-system til at styre og optage video fra IP-kameraer, ofte brugt til overvågning af flere lokationer via såkaldte child nodes, som er underliggende serverenheder, der samler kameraer på en given placering. I versioner før commit 5a76c74f er der indbygget en fast, hardkodet nøgle i child node-servicen, det vil sige en adgangskode, der er skrevet direkte i koden i stedet for at blive genereret unikt for hver installation. Fordi nøglen er den samme i alle installationer, kan en angriber, der kan nå child node-porten over netværket, opgive denne nøgle under en WebSocket-håndsyning og derefter sende SQL-forespørgsler direkte til databasen gennem funktionen onWebSocketDataFromChildNode. Det giver adgang til at læse og ændre brugerdata og kamerakonfiguration uden at logge ind.

Sårbarheden rammer alle installationer af Shinobi før commit 5a76c74f, hvor child node-servicen er tilgængelig, altså opsætninger med flere lokationer eller distribuerede kameraservere. Det gælder virksomheder og kommuner, der bruger Shinobi til videoovervågning af butikker, kontorer, parkeringsanlæg eller kommunale bygninger, og hvor child node-porten ikke er afskærmet fra det generelle netværk eller internettet.

En angriber, der kan nå child node-porten, kan uden login sende SQL-forespørgsler mod databasen. Det giver mulighed for at læse og ændre brugerkonti, herunder oprette nye administratorer, samt ændre kamerakonfiguration, så optagelser slås fra, kameraer flyttes eller feeds omdirigeres. I praksis kan angriberen overtage kontrollen med overvågningssystemet og bruge det som indgang til det øvrige netværk.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Det er ikke oplyst, at sårbarheden er udnyttet i praksis, men den lave barriere for udnyttelse gør risikoen høj, hvis child node-porten er tilgængelig fra et upålideligt netværk.

Følgende punkter lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Opdatér Shinobi til en version efter commit 5a76c74f, hvor den hardkodede nøgle er fjernet.
2. Afskærm child node-porten med en firewall, så den kun kan nås fra betroede systemer og ikke fra internettet eller almindelige kontornet.
3. Gennemgå brugerkonti i Shinobi for uventede eller ukendte konti og nulstil adgangskoder på de eksisterende.
4. Kontrollér kamerakonfigurationen for ændringer, I ikke selv har foretaget, herunder deaktiverede kameraer eller ændrede feeds.
5. Tjek logfiler for uventede WebSocket-forbindelser til child node-servicen forud for opdateringen.
6. Kontakt ekstern hjælp, hvis I ikke selv kan verificere, at opdateringen er installeret korrekt, eller hvis I finder tegn på misbrug.