Die Cybersecurity and Infrastructure Security Agency (CISA) hat am 29. September 2026 zwei Schwachstellen in der Viidure-Dashcam-Android-Anwendung offengelegt, darunter eine Schwachstelle mit maximalem Schweregrad, die im kompilierten Code der App fest codierte Zugangsdaten für den Cloud-Speicher offenlegt.
Was gefunden wurde
CVE-2026-96587, mit einem CVSS-Wert von 10,0 bewertet, beruht auf der Verwendung fest codierter Zugangsdaten, die vollständigen Lese-, Änderungs- und Löschzugriff auf das Cloud-Speicher-Backend der Plattform gewähren, einschließlich Firmware und Anwendungs-Binärdateien. Eine zweite Schwachstelle, CVE-2026-94204 (CVSS 7,5 bis 8,7, je nach Bewertungsversion), resultiert aus einem falsch konfigurierten Cloud-Speicher-Bucket mit öffentlichem Lesezugriff, wodurch Nutzerdatensätze, Live-Dashcam-Aufnahmen, Anwendungspakete und Firmware-Dateien für jeden im Internet zugänglich sind. Dem Forscher Bugrahan Karahan wird die Meldung der Probleme an CISA zugeschrieben.
Wer betroffen ist
Die Warnmeldung betrifft die Viidure-Dashcam-Android-Anwendung in Version 3.3.1.260403 und früheren Versionen, die weltweit im Sektor kritischer Infrastrukturen für Transportsysteme eingesetzt wird. Da die offengelegten Zugangsdaten und der Speicher-Bucket plattformweit gemeinsam genutzte Infrastruktur sind, sind die Schwachstellen systemisch und nicht auf einzelne Geräte beschränkt, wodurch potenziell jeder Nutzer der App betroffen sein kann.
Gegenmaßnahmen
CISA erklärte, Viidure habe nicht auf Koordinierungsversuche reagiert, und derzeit sei kein Patch verfügbar. Es gilt die übliche Übergangsempfehlung der Behörde: die Netzwerkexposition minimieren, verbundene Geräte von Geschäftsnetzwerken isolieren und für jeden erforderlichen Fernzugriff VPNs verwenden. Sicherheitsforscher empfehlen zudem, über die App keine sensiblen Aufnahmen zu speichern und eine Deinstallation der Anwendung zu erwägen, bis ein Fix bereitgestellt wird.
Bislang wurde keine öffentliche Ausnutzung einer der beiden Schwachstellen gemeldet, doch die Kombination aus maximalem CVSS-Wert und einem nicht reagierenden Hersteller lässt betroffene Nutzer ohne klaren Zeitplan für eine Behebung zurück. Weitere Entwicklungen zu Dashcams und vernetzten Geräten werden im SectechMedia-Archiv für Technologienachrichten dokumentiert.
Schreibe einen Kommentar