CVE-2026-100906: уязвимость раскрытия информации в ONVIF-устройстве Eyeplus
В устройстве Eyeplus версии 57.0.0.0308 обнаружена уязвимость раскрытия информации в функции GetUsers компонента ONVIF. Атаку можно провести удалённо, а публичный эксплойт уже доступен. Уровень критичности — средний (CVSS 6.9).
Подробности
Уязвимость затрагивает устройство Eyeplus версии 57.0.0.0308. Уязвимым элементом является функция GetUsers, доступная через файл /onvif/Device в составе компонента ONVIF. Именно некорректная обработка запросов в этой функции приводит к раскрытию информации. Тип уязвимости — раскрытие информации (information disclosure). Согласно оценке CVSS, базовый балл составляет 6.9, что соответствует среднему уровню критичности. Важной особенностью является то, что эксплуатация возможна удалённо, без необходимости физического доступа к устройству. При этом эксплойт уже опубликован и может быть использован злоумышленниками. Стоит отметить, что в записи CVE не указаны конкретные данные, которые становятся доступны при эксплуатации, — но само по себе раскрытие информации через открытый ONVIF-интерфейс представляет серьёзный риск. ONVIF — это стандарт взаимодействия сетевых видеокамер и устройств видеонаблюдения, и подобные интерфейсы часто оказываются доступны в корпоративных и домашних сетях.Что делать
На момент публикации записи CVE информация о выпуске исправления производителем отсутствует. SafeKit рекомендует принять следующие меры: Во-первых, проверьте, используются ли в вашей инфраструктуре устройства Eyeplus версии 57.0.0.0308. Если да — немедленно свяжитесь с производителем или поставщиком для уточнения статуса обновления. Во-вторых, ограничьте сетевой доступ к ONVIF-интерфейсам. Не допускайте, чтобы устройства видеонаблюдения были напрямую доступны из интернета. Размещайте их в изолированных сегментах сети, используйте межсетевые экраны и VPN для удалённого доступа. В-третьих, если возможно, отключите функцию GetUsers или ограничьте её использование в настройках устройства. Также рекомендуется включить аутентификацию на ONVIF-интерфейсе и использовать сложные пароли. В-четвёртых, ведите мониторинг обращений к файлу /onvif/Device. Подозрительная активность со стороны неизвестных IP-адресов может указывать на попытку эксплуатации уязвимости. Итог: CVE-2026-100906 — это уязвимость среднего уровня критичности, которая позволяет удалённо получить доступ к информации на устройствах Eyeplus. Наличие публичного эксплойта повышает риск реальных атак. Владельцам устройств Eyeplus рекомендуется срочно проверить свою инфраструктуру, ограничить сетевой доступ к ONVIF-интерфейсам и следить за обновлениями от производителя.Источник: CVE Project (cvelistV5)