Kiloview E3 NDI Encoder Firmware: Fest codiertes JWT-Signaturgeheimnis erlaubt Token-Fälschung

Zusammenfassung

Die Webverwaltung der Firmware des Kiloview E3 NDI Encoders signiert Session-JSON-Web-Tokens mit einem HMAC-SHA256-Geheimnis, das in der Firmware fest codiert und auf allen Geräten identisch ist. Ein Angreifer, der die öffentlich verteilte Firmware herunterlädt, kann dieses Geheimnis auslesen und Token fälschen, auch administrative, ohne gültige Zugangsdaten. Eine erfolgreiche Ausnutzung ermöglicht unauthentifizierten Zugriff auf privilegierte Gerätefunktionen. Die CISA-Warnung ICSA-26-295-01 besagt, dass eine Ausnutzung die vollständige Kompromittierung des Geräts ermöglichen könnte.

Betroffen

• Kiloview E3 NDI Encoder Firmware unterhalb V1.30 (CISA: "<1.30"; VulDB: "bis 1.29")

Behoben in

• Firmware V1.30 (vom Hersteller empfohlenes Update; Download-Seite von Kiloview)
• Unbekannt: ob V1.30 das statische Signaturgeheimnis durch ein gerätespezifisches ersetzt.
• Unbekannt: ob vor dem Update ausgestellte Token ungültig werden.

Umgehung

• Keine Massnahme ersetzt das Firmware-Update. Die Warnung nennt keine.
• Netzwerk- und ONVIF-Zugriff einschränken, bis das Gerät aktualisiert ist (Sekundärquelle, nicht Hersteller).
• Encoder vom Internet fernhalten (Sekundärquelle).
• Benutzerliste des Geräts auf unbekannte Konten prüfen (allgemeine Empfehlung, nicht von Kiloview oder CISA).

Ausnutzung

• Aktive Ausnutzung: laut einer Nachrichtenquelle nicht bestätigt. Der KEV-Status ist in den Quellen unklar; im KEV-Katalog prüfen.
• Öffentlicher Proof of Concept: in der Recherche keiner gefunden.
• Für den Angriff genügen Netzwerkzugriff und die öffentlich verfügbare Firmware (CVSS 4.0 AV:N/AC:L/AT:N/PR:N/UI:N).

Unsere Empfehlung

• Alle Kiloview E3 Geräte auf Firmware V1.30 oder neuer aktualisieren.
• Nicht davon ausgehen, dass das Update das Signaturgeheimnis ändert, bis Kiloview dies bestätigt.
• Alle E3 Geräte inventarisieren und direkte Internetexposition entfernen; sie von Gäste- und IoT-Netzwerken trennen.
• ONVIF- und Webverwaltungszugriff auf vertrauenswürdige Administratoren beschränken und auf unerwartete Administrationsanmeldungen achten.
• Diese Schwachstelle kann mit anderen Advisory-CVEs (z. B. CVE-2026-110243) verkettet werden, daher das Gerät hoch priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICS Advisory ICSA-26-295-01 www.cisa.gov
• CSAF file ICSA-26-295-01 (GitHub) github.com
• Kiloview E3 firmware download www.kiloview.com
• VulDB CVE-2026-92450 entry vuldb.com
• Security Online: Kiloview E3 vulnerabilities securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:34.