Камеры Swann SWIFI-SE2KIC с прошивкой до 2.0.22 включительно содержат три уязвимости одного класса. Каждая позволяет получить доступ к видео без пароля. Злоумышленнику достаточно оказаться в той же локальной сети, что и само устройство. Прямой эфир, одиночный кадр и трансляцию в реальном времени получит любой, кто отправит запрос. Производитель отнёс ошибки к средней степени опасности: 6.2 по CVSS 3.1 и от 5.9 до 6.9 по CVSS 4.0. Из интернета воспользоваться ими нельзя.
Три уязвимости обхода аутентификации в камерах Swann
Все три ошибки принадлежат одному классу - отсутствие аутентификации для критичной функции (CWE-306). Проверку подлинности запроса разработчики в этих сценариях не предусмотрели. Взламывать ничего не требуется: камера принимает запрос и возвращает данные. Один идентификатор (CVE-2026-107605) отвечает за просмотр живого видео, второй (CVE-2026-107606) - за получение снимка кадра. Третий касается доступа к потоку в реальном времени. Однако перед нами не три независимые ошибки, а три точки входа в один и тот же интерфейс.
Затронуты камеры, которые продаются по всему миру и нередко стоят на коммерческих объектах. Штаб-квартира Swann Communications находится в Австралии. CISA (Агентство по кибербезопасности и защите инфраструктуры США) опубликовала бюллетень 13 октября 2026 года. Уязвимости обнаружил исследователь Эллиотт Филлипс. Сведений о реальных атаках с их использованием на момент публикации нет. Снаружи, из интернета, устройства при этом недоступны.
Атака требует доступа в локальную сеть, и это сужает круг потенциальных злоумышленников. Зато упрощает задачу тому, кто уже внутри. При этом подключиться может гость в офисе через гостевую сеть Wi-Fi, подрядчик с ноутбуком или заражённое устройство интернета вещей. Видео с камеры идёт круглосуточно, а следов такое подключение почти не оставляет. Неудачных попыток входа в журналах не будет, потому что вход никто не запрашивает.
Практическая ценность открытого потока выше, чем кажется на первый взгляд. Снимок кадра позволяет собирать статичные изображения через равные промежутки времени. По ним можно судить о графике работы объекта или о том, когда помещение пустует. Кадры накапливаются месяцами, не привлекая внимания. Трансляция даёт ту же картину в реальном времени. Администратор при этом не увидит ни одного подключения.
Отдельная тема - RTSP (протокол потоковой передачи видео). Владельцы камер часто открывают его наружу, чтобы смотреть изображение из приложения. Проброс портов выводит поток за пределы защищённого контура. Та же проблема возникает при использовании демилитаризованной зоны (DMZ, сетевой сегмент с доступом из интернета) и прямого подключения по публичному адресу. Иными словами, локальная уязвимость превращается в сетевую. Производитель счёл сценарий настолько значимым, что вынес отказ от публикации RTSP в отдельную меру.
Готовой исправленной прошивки в бюллетене нет. Swann ограничилась временными мерами и советует обращаться в поддержку через форму на своём сайте. Однако речь идёт именно о промежуточных мерах, а не о полноценном исправлении. То есть закрыть уязвимость обновлением пока нельзя, и защищаться придётся настройками сети.
Камеру разумно держать за маршрутизатором с брандмауэром. Сервис RTSP не выставляйте в интернет. Пароли роутера и связанных учётных записей должны быть длинными и уникальными. Новые выпуски прошивки ставят сразу после появления. CISA дополнительно советует изолировать такие устройства от корпоративной сети. Для удалённого доступа лучше применять VPN (виртуальную частную сеть), помня, что её защита не крепче подключённых устройств.
Локальная сеть не гарантирует безопасности сама по себе. Камеры ставят на годы, обновляют редко, а служебные интерфейсы подолгу остаются открытыми. Поэтому снизить риск помогут только сегментация сети и отказ от публикации RTSP наружу.
Ссылки
