Kiloview E3 NDI Encoder Firmware: OS-Command-Injection über Hostname-Parameter
Zusammenfassung
Der Systemkontrolldienst der Firmware des Kiloview E3 NDI Encoders bereinigt den Hostname-Parameter seines Endpunkts zur Gerätebenennung nicht und übergibt ihn ungequotet an einen Shell-Befehl. Ein authentifizierter Webbenutzer mit Zugriff auf diese Funktion kann Zeichen einschleusen und beliebige Betriebssystembefehle als root ausführen, was zur vollständigen Kompromittierung des Geräts führt. CISA stuft die Schwachstelle als kritisch ein (CVSS v4.0 9.4); für die Ausnutzung ist gültiger Webzugriff auf das Gerät nötig.
Betroffen
- Kiloview E3 NDI Encoder, Firmware-Versionen unter 1.30 (gemäss CISA ICSA-26-295-01)
Behoben in
- Firmware-Version 1.30 (vom Hersteller empfohlenes Update; der genaue Code-Fix ist in den Versionshinweisen des Herstellers nicht explizit bestätigt)
Umgehung
- Keine herstellerseitige Massnahme speziell für diese CVE bekannt.
- Zugriff auf die Web-Verwaltungsoberfläche auf ein separiertes Management-Netz und benannte Administrator-Hosts beschränken.
- Gerät und dessen Weboberfläche nicht aus dem Internet erreichbar machen.
Ausnutzung
- CISA meldet zum Zeitpunkt der Veröffentlichung keine bekannte öffentliche Ausnutzung (Sekundärquellen; gegen die CISA-Meldung zu prüfen).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Kiloview-E3-Geräte und deren Firmware-Versionen inventarisieren.
- Firmware 1.30 auf einem nicht produktiven Gerät testen und danach alle Geräte unter 1.30 aktualisieren.
- Prüfen, dass keine Weboberfläche und kein ONVIF-Port des E3 aus dem Internet erreichbar ist; Portweiterleitungen auf Routern und Firewalls kontrollieren.
- Alle lokalen Passwörter ändern und die Benutzerkonten auf dem Gerät überprüfen.
- Auf unerwartete Prozesse, ausgehende Verbindungen und ungewöhnliche Anfragen zur Gerätebenennung in den Web-UI-Logs achten.
- Hinweis: CVE-2026-110825 im selben Advisory betrifft unauthentifizierte ONVIF-Konfigurationsänderungen; alle zugehörigen CVEs gemeinsam durch das Update beheben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS Advisory ICSA-26-295-01 www.cisa.gov
- CISA CSAF document ICSA-26-295-01 github.com
- Kiloview E3 firmware download (v1.30) www.kiloview.com
- Kiloview E3 firmware download documentation www.kiloview.com
- VulDB entry CVE-2026-107861 vuldb.com
- Vulners VulnRichment CVE-2026-107861 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.