EseeCloud: Hart codierte Zugangsdaten erlauben Geräteanmeldung
Zusammenfassung
Die EseeCloud-App und die Firmware enthalten ein hart codiertes Zugangsdatum, mit dem man sich bei betroffenen EseeCloud-IP-Kameras anmelden kann. Ein Angreifer mit Netzwerkzugriff kann dies ohne Berechtigungen und ohne Benutzerinteraktion ausnutzen, was eine vollständige Kontrolle über die betroffenen Kameras ermöglichen könnte. CISA stuft den CVSS-v4.0-Wert mit 9.3 (Critical) ein; der Hersteller hat auf die Koordinationsversuche nicht reagiert und es ist kein Fix veröffentlicht.
Betroffen
- EseeCloud App: 0 bis 4.9.6
- EseeCloud Firmware: 0 bis 4.9.86.0
Behoben in
Unbekannt. Der Hersteller hat noch keine korrigierte Version veröffentlicht.
Umgehung
- Betroffene Geräte vom Internet fernhalten und hinter Firewalls betreiben.
- Geräte in einem separaten Netzwerksegment isolieren.
- Falls Fernzugriff nötig ist, eine gewartete VPN-Lösung verwenden und das betriebliche Risiko vor Änderungen beurteilen.
- Cloud- bzw. P2P-Verbindungen einschränken, wo betrieblich möglich.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung wurde CISA keine bekannte Ausnutzung dieser Schwachstelle gemeldet.
- SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- In den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle EseeCloud-Apps und Firmware-Versionen inventarisieren und mit 4.9.6 bzw. 4.9.86.0 vergleichen.
- Direkten Internetzugriff auf die Kameras entfernen und sie in einem separaten VLAN isolieren.
- Auf unerwartete Anmeldungen oder neue Geräteverknüpfungen achten.
- Beim Hersteller nachfragen und auf eine Firmware-Version warten; Geräte ersetzen, falls kein Fix erscheint.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS Advisory ICSA-26-288-02 www.cisa.gov
- CSAF file ICSA-26-288-02 (GitHub) github.com
- EseeCloud vendor website eseecloud.app
- ISSSource: no fix for EseeCloud www.isssource.com
- Security Boulevard: Daily OT security news, October 16, 2026 securityboulevard.com
- Vulners: PT-2026-115614 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.