La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) reveló el 29 de septiembre de 2026 dos vulnerabilidades en la aplicación Android Viidure Dashcam, entre ellas un fallo de máxima gravedad que expone credenciales de almacenamiento en la nube codificadas de forma fija e incrustadas en el código compilado de la aplicación.
Qué se Descubrió
CVE-2026-96587, con una puntuación CVSS de 10.0, se debe al uso de credenciales codificadas de forma fija que otorgan acceso completo de lectura, modificación y eliminación al backend de almacenamiento en la nube de la plataforma, incluidos el firmware y los binarios de la aplicación. Un segundo fallo, CVE-2026-94204 (CVSS de 7.5 a 8.7 según la versión de puntuación), se debe a un bucket de almacenamiento en la nube mal configurado con acceso público de lectura, que expone registros de usuarios, grabaciones en directo de la dashcam, paquetes de la aplicación y archivos de firmware a cualquier persona en internet. Se atribuye al investigador Bugrahan Karahan el reporte de estos problemas a CISA.
Quién se ve Afectado
El aviso cubre la aplicación Android Viidure Dashcam en su versión 3.3.1.260403 y anteriores, desplegada en todo el mundo dentro del sector de infraestructura crítica de Sistemas de Transporte. Dado que las credenciales expuestas y el bucket de almacenamiento son infraestructura compartida a nivel de plataforma, los fallos son sistémicos y no se limitan a dispositivos individuales, lo que podría afectar a todos los usuarios de la aplicación.
Mitigación
CISA indicó que Viidure no respondió a los intentos de coordinación y que actualmente no hay ningún parche disponible. Se aplica la orientación provisional estándar de la agencia: minimizar la exposición en red, aislar los dispositivos conectados de las redes empresariales y usar VPN para cualquier acceso remoto necesario. Los investigadores de seguridad recomiendan además evitar almacenar grabaciones sensibles a través de la aplicación y considerar desinstalarla hasta que se publique una solución.
Hasta la fecha no se ha reportado explotación pública de ninguno de los dos fallos, pero la combinación de una puntuación CVSS máxima y un proveedor que no responde deja a los usuarios afectados sin un calendario claro de solución. Más novedades sobre dashcams y dispositivos conectados se recogen en el archivo de noticias tecnológicas de SectechMedia.
Deja una respuesta