Axis исправила уязвимость CVE-2026-13312 в AXIS Camera Station Pro и AXIS Camera Station 5. Оценка CVSS 3.1 - 9.9, критический уровень. Атака идёт по сети, требует учётной записи с низкими правами и не требует участия пользователя. Затронуты Camera Station Pro до 6.17 и Camera Station 5 до 5.59 SR2; исправления вышли в 6.17 и 5.59 SR2. Сведений об эксплуатации вендор не приводит, технические детали не раскрываются.
Что известно
AXIS Camera Station - система видеонаблюдения: серверное ПО управляет камерами, пишет архив, показывает видео операторам и раздаёт доступ клиентам. Такие системы ставят в офисах, на производстве, в магазинах и на объектах инфраструктуры, а удалённый доступ к ним часто открывают наружу, чтобы охрана и руководители могли смотреть камеры из любой точки. Сервер Camera Station обычно стоит в отдельном сегменте, но к нему подключены камеры, клиентские рабочие места операторов и хранилище архива, поэтому ошибка в его обработчике затрагивает не только просмотр.
Уязвимость CVE-2026-13312 классифицирована как некорректная проверка типа входных данных (CWE-1287). Формулировка вендора осторожная: ошибка может позволить атакующему скомпрометировать систему. Вектор CVSS 3.1 - AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Это значит: атака по сети, сложность низкая, нужна учётная запись с низкими правами, взаимодействие пользователя не требуется, область действия меняется, влияние на конфиденциальность, целостность и доступность высокое.
Уязвимость нашёл Райан Винтон (Ryan Vinton) в рамках программы Bug Bounty для AXIS Camera Station Pro. Вендор не раскрывает ни компонент, ни сценарий эксплуатации, поэтому точную последовательность действий восстановить нельзя. Остаётся ориентироваться на вектор и на класс ошибки: это сетевой сценарий, где пользователь с обычными правами может выйти за пределы своей роли и повлиять на систему целиком.
Чем это грозит
Camera Station - это не просто просмотр видео. В системе хранится архив записей, списки камер, учётные записи операторов и настройки доступа. Компрометация сервера видеонаблюдения означает риск для физической безопасности объекта: можно скрыть или подменить записи, изменить права, отключить камеры или получить доступ к видео, которое не предназначено для этого пользователя.
Оценка 9.9 объясняется сочетанием низких требований к атакующему и высокого влияния на все три составляющие. Даже с учётной записью без прав администратора атакующий может получить контроль над системой, а изменение области действия означает, что последствия не ограничиваются изначально уязвимым компонентом. Для объекта это значит не только утечку видео: получив управление сервером, атакующий может смотреть архив за прошлые периоды, менять сценарии записи и отключать уведомления, а служба охраны не сразу заметит разницу.
Условия эксплуатации
Нужен сетевой доступ к серверу Camera Station и действующая учётная запись с низкими правами. Участие пользователя не требуется: атакующему не нужно, чтобы оператор нажал ссылку или открыл файл. Открытый в интернет веб-интерфейс или клиентский порт упрощает задачу; если система доступна только из внутренней сети, порог выше, но не исчезает - скомпрометированная рабочая станция оператора тоже становится точкой входа. Для распределённых объектов стоит проверить и клиентские места: старый клиент может не поддерживать новые требования сервера.
Класс ошибки - некорректная проверка входных данных. Обычно такие ошибки проявляются в обработке запросов или файлов, которые сервер принимает от клиента. Без деталей от вендора нельзя сказать, какой именно запрос срабатывает, поэтому защищаться приходится обновлением и ограничением доступа, а не точечной настройкой.
Затронутые версии
Уязвимы AXIS Camera Station Pro версий ниже 6.17 и AXIS Camera Station 5 версий ниже 5.59 SR2. Исправления: 6.17 для Pro и 5.59 SR2 для пятой ветки. Проверить версию можно в интерфейсе Camera Station, в разделе с информацией о системе и обновлениях.
Если в инфраструктуре несколько серверов записи, обновлять нужно каждый, а не только тот, к которому подключены операторы. Старые ветки Camera Station 5 требуют установки сервис-релиза 5.59 SR2: просто обновить клиент недостаточно, если сервер остаётся уязвимым.
Что делать
Обновить серверную часть Camera Station Pro до 6.17 или Camera Station 5 до 5.59 SR2 и проверить, что обновление применилось на всех серверах записи. Перед обновлением стоит сделать резервную копию конфигурации и архива, а после - проверить, что камеры, архив и удалённый доступ работают. Обновление лучше ставить вне окна активной записи и заранее зафиксировать список учётных записей и прав: после патча проще сравнить состояние и заметить лишнее.
Пока обновление не установлено, сократите поверхность атаки: уберите прямой доступ к Camera Station из интернета, если он не обязателен, ограничьте доступ доверенными сетями и пересмотрите учётные записи - лишние и старые лучше отключить. Проверьте журналы на подозрительные входы и изменения настроек, а архив записей за последние дни сохраните отдельно - он может понадобиться при разборе инцидента. Для систем видеонаблюдения это особенно важно: они относятся к физической безопасности объекта и часто остаются без внимания ИБ-службы.
После обновления вендор отдельных обходных мер не предлагает. Проверьте, что обновились и серверы записи, и клиентские приложения операторов: разнородные версии в такой системе создают лишние проблемы. Если сервер был доступен из интернета, стоит отдельно проверить, не менялись ли права, списки камер и настройки записи, и при подозрении на компрометацию привлекать специалистов по реагированию.
Ссылки
- https://www.axis.com/dam/public/permalink/289342/cve-2026-13312pdf-en-US_289342.pdf
- https://www.cve.org/CVERecord?id=CVE-2026-13312
