Уязвимость хардкодных TURN-учетных данных в Girafit Camera App 1.9.1 (CVE-2026-53986)

Исследователи выявили уязвимость в экосистеме Girafit, затрагивающую как мобильное приложение, так и сами камеры. Проблема связана с использованием хардкодных (зашитых в код) учетных данных для TURN-ретранслятора, который применяется для организации видеотрансляции в реальном времени. Поскольку эти данные не уникальны для каждого пользователя, злоумышленник, получивший к ним доступ, потенциально может влиять на трафик, не привязываясь к конкретному устройству или аккаунту.

Подробности

Уязвимости подвержены приложение Girafit camera app версии 1.9.1 и более ранних версий для платформ Android и iOS, а также устройства Girafit. Согласно описанию, при регистрации живого просмотра в приложении используются статические TURN-имя пользователя и session token, идентичные для всех установок и не привязанные к какому-либо пользователю или устройству. Их можно получить двумя путями: декомпилировав мобильное приложение либо перехватив незашифрованный сетевой трафик в момент регистрации.

Извлечение статичного TURN-логина и токена сессии само по себе создает риск отслеживания и имперсонации, а в сочетании с паролем TURN-ретранслятора может привести к дальнейшей эксплуатации. Уязвимости присвоен идентификатор CVE-2026-53986, базовая оценка CVSS — 6.9 (MEDIUM). Стоит отметить, что токен и логин не привязаны к конкретному пользователю, что расширяет поверхность атаки: компрометация одного экземпляра приложения или перехват одного сеанса дает данные, действующие для всей инфраструктуры.

Что делать

На момент публикации записи CVE официальные рекомендации производителя в ней не приведены. Стандартные меры защиты включают:

• проверить наличие обновлений Girafit camera app и прошивки устройств Girafit у производителя и установить их при выпуске;
• ограничить сетевую доступность камер и приложения, использовать доверенные сети и сегментацию;
• применять шифрование трафика (VPN, защищенные каналы) для снижения риска перехвата данных при регистрации живого просмотра;
• отслеживать аномальную активность, связанную с TURN-ретрансляцией, и при возможности ограничить доступ к TURN-инфраструктуре.

Организациям, использующим устройства Girafit в чувствительных сценариях, рекомендуется оценить риск и при отсутствии исправлений рассмотреть компенсирующие меры вплоть до временного ограничения функциональности живого просмотра.

Уязвимость CVE-2026-53986 демонстрирует классическую проблему хардкодных секретов: статичные учетные данные, общие для всех установок, превращают единичную утечку в риск для всей экосистемы. До выпуска официального патча ключевыми остаются сетевые митигации и мониторинг подозрительной активности.

Источник: CVE Project (cvelistV5)