CVE-2026-90847: Kritisk fejl i ipTIME C200E kamera

CVE-2026-90847 er en sårbarhed i ipTIME C200E, version 1.094, hvor filen iux_set.cgi i systemopsætningen ikke renser brugerinput korrekt. Det gør det muligt at udføre kommandoinjektion, hvor en angriber sender styresystemkommandoer gennem et felt, der egentlig kun skulle bruges til opsætning. Kommandoerne bliver kørt direkte på enhedens styresystem med de rettigheder, webgrænsefladen har. Sårbarheden kan udnyttes over netværket, men kræver at angriberen allerede har fået adgang med et administratorlogin til enhedens managementinterface.

Sårbarheden rammer ipTIME C200E med firmwareversion 1.094. Enheden bruges typisk som IP-kamera eller netværksenhed i mindre kontorer, butikker og produktionsmiljøer. Er enhedens administrationsinterface tilgængeligt fra internettet eller fra et internt netværk, hvor en angriber har fået fat i administratorlogin, er I i risikogruppen.

En angriber, der har fået administratorlogin, kan overtage hele enheden og køre vilkårlige kommandoer på styresystemet. Det giver mulighed for at aflytte kameraoptagelser, ændre indstillinger, installere skadelig kode eller bruge enheden som springbræt til at komme videre ind i jeres netværk. For en dansk virksomhed betyder det, at et kompromitteret kamera kan blive indgangen til resten af IT-miljøet.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke brugerinteraktion og kan udføres over netværket, men det kræver, at angriberen allerede har administratorrettigheder til enheden, for eksempel gennem stjålne eller standardlogins. Konsekvensen ved udnyttelse er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Sårbarheden er offentligt beskrevet, og der findes offentligt tilgængelig information om, hvordan den udnyttes.

Følg punkterne i prioriteret rækkefølge for at lukke hullet og begrænse skaden, mens I venter på en officiel opdatering.

1. Tjek om EFM har udgivet en firmwareopdatering til C200E, der retter sårbarheden i iux_set.cgi, og installer den så snart den er tilgængelig.
2. Fjern administrationsinterfacet fra internettet, så det kun kan tilgås fra et betroet internt netværk eller VPN.
3. Skift alle standardlogins og administratoradgangskoder til enheden til stærke, unikke koder.
4. Adskil kameraer og netværksenheder fra resten af netværket med VLAN, så en kompromitteret enhed ikke kan bruges som springbræt.
5. Gennemgå logs for uventede kommandoer eller ændringer i enhedens konfiguration.
6. Kontakt os hos Auroa, hvis I ikke selv kan verificere firmwareversion, adgangsbegrænsning eller netværksadskillelse.