साइबरसिक्योरिटी एंड इन्फ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने 29 सितंबर, 2026 को Viidure Dashcam Android एप्लिकेशन में दो कमज़ोरियों का खुलासा किया, जिनमें एक अधिकतम-गंभीरता वाली खामी शामिल है जो ऐप के कंपाइल किए गए कोड में एम्बेडेड हार्डकोडेड क्लाउड स्टोरेज क्रेडेंशियल को उजागर करती है।
क्या पाया गया
CVSS 10.0 रेटिंग वाला CVE-2026-96587 हार्ड-कोडेड क्रेडेंशियल के उपयोग से उत्पन्न होता है, जो प्लेटफ़ॉर्म के क्लाउड स्टोरेज बैकएंड तक पूर्ण रीड, मॉडिफाई और डिलीट एक्सेस देता है, जिसमें फर्मवेयर और एप्लिकेशन बाइनरी भी शामिल हैं। स्कोरिंग वर्शन के आधार पर CVSS 7.5 से 8.7 के बीच रेटिंग वाली एक दूसरी खामी, CVE-2026-94204, एक गलत कॉन्फ़िगर किए गए क्लाउड स्टोरेज बकेट से उत्पन्न होती है जिसे पब्लिक-रीड एक्सेस पर सेट किया गया था, जिससे उपयोगकर्ता रिकॉर्ड, लाइव डैशकैम फुटेज, एप्लिकेशन पैकेज और फर्मवेयर फ़ाइलें इंटरनेट पर किसी के लिए भी उजागर हो गईं। शोधकर्ता बुग्राहन कराहान (Bugrahan Karahan) को इन समस्याओं की जानकारी CISA को देने का श्रेय दिया गया है।
कौन प्रभावित है
यह एडवाइज़री Viidure Dashcam Android Application वर्शन 3.3.1.260403 और उससे पहले के वर्शनों को कवर करती है, जो दुनिया भर में ट्रांसपोर्टेशन सिस्टम्स क्रिटिकल इंफ्रास्ट्रक्चर सेक्टर के भीतर तैनात हैं। चूंकि उजागर क्रेडेंशियल और स्टोरेज बकेट प्लेटफ़ॉर्म-व्यापी साझा इंफ्रास्ट्रक्चर हैं, इसलिए ये खामियां व्यक्तिगत डिवाइसों तक सीमित न होकर प्रणालीगत हैं, जो संभावित रूप से ऐप के हर उपयोगकर्ता को प्रभावित कर सकती हैं।
शमन (Mitigation)
CISA ने कहा कि Viidure ने समन्वय के प्रयासों का जवाब नहीं दिया, और फिलहाल कोई पैच उपलब्ध नहीं है। एजेंसी का मानक अंतरिम मार्गदर्शन लागू होता है: नेटवर्क एक्सपोज़र को कम से कम रखें, कनेक्टेड डिवाइसों को बिज़नेस नेटवर्क से अलग रखें, और किसी भी आवश्यक रिमोट एक्सेस के लिए VPN का उपयोग करें। सुरक्षा शोधकर्ता इसके अतिरिक्त ऐप के माध्यम से संवेदनशील फुटेज संग्रहीत करने से बचने और जब तक समाधान जारी नहीं होता तब तक एप्लिकेशन को हटाने पर विचार करने की सलाह देते हैं।
अब तक इनमें से किसी भी खामी के सार्वजनिक दुरुपयोग की कोई रिपोर्ट नहीं मिली है, लेकिन अधिकतम CVSS स्कोर और एक गैर-प्रतिक्रियाशील विक्रेता के संयोजन से प्रभावित उपयोगकर्ताओं के पास समाधान की कोई स्पष्ट समयसीमा नहीं बचती। डैशकैम और कनेक्टेड-डिवाइस से जुड़े और घटनाक्रम सेकटेकमीडिया प्रौद्योगिकी समाचार संग्रह में देखे जा सकते हैं।
प्रातिक्रिया दे