Atsumi Electric ADX-DVRs: Versteckte Funktion erlaubt Ausführung von OS-Befehlen
Zusammenfassung
Mehrere DVRs der Serie ADX von Atsumi Electric enthalten eine versteckte Funktion (CWE-912 laut JVN und CVE-Eintrag). Ein Angreifer, der sich mit Administratorrechten anmeldet, kann beliebige Betriebssystembefehle auf dem Gerät ausführen. Der Angriff ist über das Netzwerk möglich, setzt aber gültige Administratorzugangsdaten voraus. Ein verwandtes Problem, CVE-2026-100737, erlaubt Administratoren zusätzlich das Einspielen nicht autorisierter Firmware.
Betroffen
- ADX5004, ADX5008, ADX404: alle Versionen vor Ver.10.8.237
- ADX3004, ADX3008, ADX3016, ADX204: alle Versionen vor Ver.10.8.237
- ADX1004, ADX1008, ADX2016: alle Versionen (nicht mehr verkauft)
- Laut Hersteller ist ADX5016 nicht betroffen.
Behoben in
- ADX5004, ADX5008, ADX404, ADX3004, ADX3008, ADX3016, ADX204: Ver.10.8.237 oder neuer (Firmware des Herstellers)
- ADX1004, ADX1008, ADX2016: keine Korrektur, es wird kein Firmware-Update bereitgestellt
Umgehung
- Der Hersteller empfiehlt, die Geräte ohne Netzwerkverbindung zu betreiben.
- Für ADX1004, ADX1008 und ADX2016 gibt es keine Korrektur; der Hersteller empfiehlt bei benötigter Netzwerkverbindung den Einsatz eines Nachfolgeprodukts.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept erkannt; nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle Atsumi-ADX-Geräte nach Modell und Firmware-Version inventarisieren.
- ADX5004, ADX5008, ADX404, ADX3004, ADX3008, ADX3016 und ADX204 auf Ver.10.8.237 oder neuer aktualisieren. Nach dem Update funktionieren Standard- und schwache Passwörter nicht mehr, daher neue, starke Passwörter setzen.
- ADX1004, ADX1008 und ADX2016 durch ein unterstütztes Nachfolgeprodukt ersetzen (der Hersteller verweist auf die Serie ADX5000).
- Bis zur Korrektur DVRs vom Internet trennen, den Management-Zugriff auf ein vertrauenswürdiges LAN oder VPN beschränken und Administratorkonten überprüfen.
- Herstellerhinweis und NVD auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JVN#88864366 (English) jvn.jp
- Atsumi Electric product notice www.atsumi.co.jp
- JVNDB-2026-000154 jvndb.jvn.jp
- OpenCVE: CVE-2026-97627 app.opencve.io
- VulDB 422664 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:43.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.