Jooan JA-A12: Nicht authentifizierte Remote Code Execution über hart codierte Zugangsdaten

Zusammenfassung

Jooan JA-A12 IP-Kameras mit Firmware 009_20171107 oder 05.02.31.105 enthalten hart codierte Zugangsdaten, die es nicht authentifizierten Angreifern im Netzwerk erlauben, Root-Befehle auszuführen. Ein Angreifer sendet eine manipulierte SetDiagMode-Anfrage an den Endpunkt /goform/SingleHandlebyCommand, woraufhin der Dienst jooandiag vom Angreifer gelieferte Befehle über /bin/sh ausführt. Das Ergebnis ist die vollständige Kontrolle über die Kamera, die danach als Einstiegspunkt in das interne Netzwerk missbraucht werden kann. Der CVSS-4.0-Wert beträgt 9.3 (kritisch).

Betroffen

• Jooan JA-A12 IP-Kameras mit Firmware 009_20171107
• Jooan JA-A12 IP-Kameras mit Firmware 05.02.31.105
• Gemäss CVE-Eintrag ist die Standardkonfiguration nicht betroffen.

Behoben in

Unbekannt. Es wurde weder eine korrigierte Firmware noch eine Herstellerwarnung gefunden.

Umgehung

• Externen Zugriff auf den Endpunkt /goform/SingleHandlebyCommand mit Firewall-Regeln blockieren oder, falls möglich, die Weboberfläche deaktivieren (Empfehlung eines Drittanbieters, nicht des Herstellers).
• Kameras in einem separaten VLAN isolieren.
• Jegliche Portweiterleitungen oder UPnP-Zuordnungen zu den Kameras entfernen.
• Kamera hinter einem VPN betreiben, falls sie anders nicht abgesichert werden kann.

Ausnutzung

• CISA-SSVC-Bewertung im CVE-Eintrag: Exploitation-Status 'poc', automatisierbar 'yes', technische Auswirkung 'total'.
• Ein öffentlicher Proof of Concept wird angezeigt, VulDB gibt jedoch an, dass kein Exploit verfügbar ist; dieser Widerspruch ist ungeklärt.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Keine Meldungen über aktive Ausnutzung gefunden.
• Der EPSS-Wert liegt unter 1%.

Unsere Empfehlung

• Alle Jooan JA-A12 Kameras inventarisieren und deren Firmware-Versionen prüfen.
• Internetexposition sofort entfernen und den betroffenen Endpunkt an der Firewall blockieren.
• Kameras vom Hauptnetz segmentieren sowie ausgehenden Datenverkehr und Logs auf unerwartete Verbindungen überwachen.
• Geräte ohne Herstellerkorrektur ersetzen oder ausser Betrieb nehmen und die Supportseiten von Jooan sowie NVD auf Updates prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: Jooan JA-A12 Unauthenticated Root RCE via SetDiagMode Hard-Coded Credentials www.vulncheck.com
• Rahul R: From Temu to Root: Breaking the Jooan C9TS rahulr.in
• OpenCVE: CVE-2026-111281 app.opencve.io
• VulDB: CVE-2026-111281 vuldb.com
• EUVD-2026-102472 vulners.com
• Positive Technologies PT-2026-115272 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:34.