Axis подтвердила уязвимость в резервных копиях базы данных продуктов Axis Camera Station Pro и Camera Station 5. Копии защищены недостаточно стойким шифрованием, поэтому похищенный файл можно вскрыть без доступа к сети и прочитать его содержимое. Исправление выпущено для Camera Station Pro, а для Camera Station 5 номер исправленной сборки в уведомлении не назван. Сведений об эксплуатации и о публичных эксплойтах у вендора нет.
CVE-2026-63286 и недостаточная стойкость шифрования копий
Проблема отнесена к классу CWE-326, недостаточная стойкость шифрования. Такой номер носит классификатор слабостей программного обеспечения: он описывает тип ошибки, а не конкретный продукт. Деталей Axis не раскрывает и прямо пишет, что подробностей не будет. В уведомлении сказано только, что резервные копии базы данных уязвимы к офлайн-атакам, то есть к разбору уже похищенного файла без выхода в сеть.
Оценка по CVSS 3.1 - 7,1 из 10, уровень High по классификации вендора. Атака локальная: нужен доступ к файлу копии, сеть не требуется, привилегии низкие, участие пользователя не нужно. Влияние на конфиденциальность и целостность оценено как высокое, на доступность влияния нет. Иначе говоря, содержимое копии раскрывается, а её неизменность гарантировать нельзя.
Уязвимость обнаружил Maciej 'mace' Nowak, участник программы bug bounty по Camera Station Pro, то есть программы выплат за найденные уязвимости. Уведомление опубликовано 28 октября 2026 года. Публикация технических деталей не означает, что уязвимость уже используют в атаках: Axis о таких случаях не знает.
Обновление до Camera Station Pro 6.20
Исправление вышло в версии AXIS Camera Station Pro 6.20. Копии, созданные до обновления, остаются уязвимыми, поэтому патч закрывает проблему только для новых копий. При обновлении продукт сам создаёт ещё одну копию для восстановления, и её тоже нужно удалить. Axis указывает на необходимость удалить все такие копии и сменить учётные данные, которые хранит Camera Station Pro.
Для защиты хранилища копий вендор отсылает к руководствам по усилению защиты систем (System hardening guide) для Camera Station Pro и Camera Station 5. Это документы с набором настроек, которые сокращают поверхность атаки; в уведомлении они названы, но сами настройки не перечислены. В примечаниях к выпуску будет указано, что устранена CVE-2026-63286.
Исправление для Camera Station 5 не названо
В записи CVE линейка Camera Station 5 указана как затронутая целиком, при этом ни уведомление Axis, ни запись CVE не называют сборку с исправлением. Номер появится в обновлениях бюллетеня Axis и в примечаниях к выпуску продукта. Пока его нет, ограничьте доступ к хранилищу копий по руководству вендора и удалите копии, созданные уязвимыми версиями.
Для администратора важнее не сама ошибка шифрования, а судьба уже созданных копий. Патч не переписывает существующие файлы, поэтому после обновления нужно проверить хранилище и удалить всё, что создано до 6.20, а затем сменить учётные данные. Пока такие копии существуют, утечка файла даёт атакующему тот же результат, что и до обновления.
Ссылки
