В системе управления видеонаблюдением ADVMS от Johnson Controls ключ шифрования локальной базы данных прописан внутри самого продукта. Сменить его настройками нельзя, и для всех установок одной версии он одинаков. Любой, кто получит доступ к рабочей станции оператора, способен извлечь этот ключ и прочитать служебную базу. В ней лежат пароли администраторов и токены аутентификации, то есть данные, которые подтверждают вход без повторного ввода пароля. Уязвимость затрагивает версии 3.10 и более ранние, исправление появилось в 3.20. Ей присвоен идентификатор CVE-2026-34499 и уровень High по классификации вендора.
Уязвимость CVE-2026-34499 в системе видеонаблюдения ADVMS
ADVMS расшифровывается как American Dynamics Video Management System. Это платформа для операторов охраны: через неё подключаются к видеорегистраторам VideoEdge, следят за прямыми трансляциями, просматривают архив, обрабатывают тревоги и управляют поворотными камерами (PTZ). Такие системы ставят на коммерческих объектах - в торговых центрах, офисных зданиях, на складах, в логистических и промышленных комплексах. Johnson Controls указывает, что продукт развёрнут по всему миру, а среди отраслей применения отдельно называет видеонаблюдение и охрану коммерческих объектов.
Как работает встроенный ключ
Слабое место относится к классу "использование жёстко заданного криптографического ключа". Проще говоря, ключ не создаётся отдельно для каждой инсталляции, а поставляется вместе с программой. Злоумышленник с локальным доступом достаёт его двумя способами: из файлов конфигурации клиента либо напрямую из исполняемых файлов приложения. Полученный ключ открывает локальные базы данных, включая защищённые SQLite и SQLCipher, причём расшифровка идёт офлайн, без обращения к серверу. Затем из базы извлекаются пароли администраторов и токены аутентификации. С ними обход проверки подлинности заметно упрощается, а доступ к системе видеонаблюдения становится административным.
Метрики CVSS 4.0 описывают картину так: атака требует локального доступа, проходит без участия пользователя и при низких привилегиях даёт высокое влияние на конфиденциальность, целостность и доступность приложения. Влияние на смежные компоненты оценено как низкое. Локальный вектор означает одно: для эксплуатации нужно попасть на саму машину. Это может быть общий рабочий компьютер операторской, учётная запись подрядчика или физический доступ к системному блоку. О случаях применения уязвимости в реальных атаках Johnson Controls не сообщает.
Ещё один нюанс связан с тем, что ключ не уникален для конкретной установки. Если он попадёт в руки злоумышленника вместе с копией базы, расшифровать её можно на любой другой машине. Поэтому ценность одной утечки выше, чем кажется на первый взгляд: она не ограничивается одним объектом.
Временные меры до обновления
Обновление до 3.20 закрывает и утечку ключа, и хранение ключей для баз данных приложения. Перед установкой в промышленных и технологических сетях вендор советует оценить влияние на работу объекта, сохранить резервные копии конфигураций, проверить обновление вне продуктивного контура и соблюсти процедуры управления изменениями. На таких объектах паузы планируют заранее, поэтому подготовка занимает время.
Если обновиться сразу не получается, остаются четыре меры. Первая - ограничить права доступа к папке конфигурации ADVMS в профиле пользователя (%AppData%\Roaming\advms\Config) и списки управления доступом (ACL) так, чтобы файлы видели только авторизованные пользователи и администраторы. Вторая - запускать клиент от обычной учётной записи, а не от администратора, и придерживаться принципа наименьших привилегий. Третья - включить полное шифрование диска, например BitLocker, чтобы данные нельзя было вытащить с выключенной или извлечённой машины. Четвёртая - держать в актуальном состоянии средства обнаружения и реагирования на конечных точках (EDR) и отслеживать попытки изменить файлы или выгрузить учётные данные.
Johnson Controls прямо оговаривает: эти шаги снижают риск, но уязвимость не устраняют. Полноценное закрытие проблемы возможно только переходом на исправленную версию.
Встроенные ключи остаются распространённой ошибкой в прикладном ПО для охраны и промышленности. Обнаружить такой дефект со стороны несложно, а использовать его под силу и неопытному злоумышленнику - высокая квалификация здесь не нужна. Поэтому защита рабочих станций операторов, разграничение прав и своевременная установка обновлений остаются основной линией обороны. Особенно там, где системы видеонаблюдения выходят за периметр корпоративной сети и стоят на объектах с постоянным потоком подрядчиков и обслуживающего персонала.
Ссылки
