OpenEye Apex NVR: критическая инъекция команд в recbackup (CVE-2026-94367)
В прошивке OpenEye Apex Network Video Recorder 3.2.9.376 обнаружена уязвимость инъекции команд ОС в компоненте recbackup. Аутентифицированный администратор может выполнить произвольные команды с правами пользователя nvr. Проблема оценена в 7.2 балла (HIGH) и устранена в версии 3.4.3.
Подробности
Уязвимость CVE-2026-94367 имеет тип OS command injection (инъекция команд операционной системы) и локализована в компоненте recbackup. Согласно описанию, аутентифицированный администратор может передать специально сформированные данные конфигурации области резервного копирования, которые затем попадают в shell-команду без должной санитизации. Это позволяет выполнить произвольные команды в контексте пользователя nvr. Проблеме присвоен базовый балл CVSS 7.2 (HIGH). Уязвимость затрагивает OpenEye Apex NVR с прошивкой 3.2.9.376. Отмечается, что подобная архитектурная ошибка присутствует по крайней мере с версии 2.2.3.4, то есть на протяжении длительного времени. Для эксплуатации злоумышленнику требуются учётные данные администратора, что несколько снижает вектор атаки, однако в сочетании с недостаточной сегментацией сети или компрометацией учётной записи риск остаётся высоким.Что делать
Производитель выпустил исправление: уязвимость устранена в OpenEye Apex версии 3.4.3. Рекомендуется как можно скорее обновить прошивку NVR до указанной версии или более поздней. До момента обновления следует применить компенсирующие меры: — ограничить доступ к веб-интерфейсу и API устройства, используя сегментацию сети и списки разрешённых IP-адресов; — обеспечить строгий контроль учётных записей администраторов, включить многофакторную аутентификацию, если она поддерживается; — регулярно проверять журналы на предмет подозрительных действий, связанных с резервным копированием; — не предоставлять доступ к NVR из недоверенных сетей. Организациям, использующим Apex NVR, стоит проверить инвентаризацию устройств и убедиться, что все они находятся под управлением актуальных версий ПО. Итог: CVE-2026-94367 — серьёзная уязвимость, позволяющая аутентифицированному администратору выполнять команды на устройстве видеонаблюдения. Несмотря на требование учётных данных, она даёт возможность закрепиться в инфраструктуре и расширить атаку. Единственный надёжный способ защиты — обновление до OpenEye Apex 3.4.3.Источник: CVE Project (cvelistV5)