Уязвимость передачи данных в открытом виде в камере Yoosee GM8135S (CVE-2026-116114)

В камере видеонаблюдения Yoosee GM8135S обнаружена уязвимость, связанная с передачей чувствительных данных в незашифрованном виде. Информация опубликована в базе CVE Project, эксплойт стал доступен публично, что повышает риск практического использования.

Подробности

Уязвимость затрагивает Yoosee GM8135S версии 21.00.01.36. Проблема локализована в компоненте обработки живого UDP-видеопотока H.264, в файле /npc/npc. Из-за передачи конфиденциальной информации в открытом виде (cleartext transmission) данные видеопотока могут быть перехвачены в сети.

Атака может быть инициирована удалённо. При этом сложность эксплуатации оценивается как высокая, а реализуемость — как затруднительная. Уязвимости присвоен рейтинг CVSS 6.3 (MEDIUM). Производитель был уведомлён о проблеме заранее, однако не ответил на обращение, поэтому исправленная версия прошивки на момент публикации может отсутствовать.

Что делать

Поскольку официальный патч не подтверждён, рекомендуются компенсирующие меры:

• Изолировать камеры в отдельном сегменте сети и ограничить доступ к ним из внешних сетей и интернета.
• Не допускать передачу видеопотока через недоверенные или открытые каналы; использовать защищённые VPN-туннели между камерой и сервером.
• Ограничить сетевой доступ к устройству по IP-адресам и портам, применять сегментацию и межсетевые экраны.
• Регулярно проверять наличие обновлений прошивки у производителя и устанавливать их при появлении.
• Отслеживать аномальную сетевую активность устройства и подозрительные подключения к видеопотоку.

Уязвимость CVE-2026-116114 демонстрирует типичный риск для устройств интернета вещей: отсутствие шифрования чувствительного трафика и неготовность вендора оперативно реагировать на раскрытие. Пока исправление не выпущено, безопасность камеры Yoosee GM8135S следует обеспечивать за счёт сетевой изоляции и защищённых каналов передачи данных.

Источник: CVE Project (cvelistV5)