Kurzfassung
CVE-2026-79395 ist eine kritische Schwachstelle mit CVSS 9.8 in Xiongmai-IP-Kameras auf Basis der XM530-Firmware bis einschließlich HMT.CM2005-v220608.1837. Unter bestimmten Voraussetzungen können Angreifer die Authentifizierung für ONVIF-Aktionen umgehen und aus der Ferne privilegierte Funktionen auslösen. Dazu zählen unter anderem PTZ-Steuerung, das Auslesen von Stream-URLs und ein Neustart des Geräts.
Was ist passiert?
Betroffen ist die Prüfung von WS-Security-Informationen im Format wsse:UsernameToken innerhalb des Sofia-IPC-Dienstes. Die Schwachstelle erlaubt es, eine Anmeldung per präparierter SOAP-Anfrage zu umgehen, wenn für das betroffene Konto zwar der Benutzername vorhanden ist, das gespeicherte Passwort aber leer ist.
In diesem Fall reicht laut NVD der Admin-Benutzername zusammen mit einem beliebigen Passwort aus, um privilegierte ONVIF-Befehle abzusetzen. Der Angriff erfolgt über das Netzwerk, benötigt keine vorherige Anmeldung und keine Interaktion durch Benutzer. Das macht die Lücke vor allem in Umgebungen kritisch, in denen Kameras direkt erreichbar sind oder ONVIF-Schnittstellen unnötig weit freigegeben wurden.
Technische Details
Die NVD bewertet CVE-2026-79395 mit CVSS 9.8 von 10 Punkten. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Das steht für einen netzwerkbasierten Angriff mit niedriger Komplexität, ohne erforderliche Rechte und ohne Benutzerinteraktion, bei gleichzeitig hohem potenziellem Schaden für Vertraulichkeit, Integrität und Verfügbarkeit.
Der Fehler liegt in der Authentifizierungsprüfung für WS-Security bei ONVIF-Anfragen. Gelingt die Umgehung, können Angreifer privilegierte Funktionen der Kamera ausführen. Genannt werden PTZ-Steuerung, das Abrufen von Stream-Adressen und ein Systemneustart. Je nach Einbindung der Kamera in Produktions-, Gebäude- oder Sicherheitsnetze kann das operative Auswirkungen haben: vom unbemerkten Zugriff auf Videoströme bis zur Manipulation der Ausrichtung oder Unterbrechung des Betriebs.
Wichtig ist die genannte Bedingung: Die Ausnutzung setzt voraus, dass für das betreffende Konto ein leeres gespeichertes Passwort vorliegt. Das begrenzt die praktische Angriffsfläche, macht die Lücke aber keineswegs harmlos. Gerade bei OEM-Geräten, Altbeständen, unvollständiger Inbetriebnahme oder fehlerhaften Konfigurationen kommt so etwas in der Praxis vor.
Wer ist betroffen?
Genannt wird Xiongmai-IP-Kamera-Firmware XM530 in Version HMT.CM2005-v220608.1837 und älter. Ob weitere Produktlinien, OEM-Modelle oder umgelabelte Kameras betroffen sind, ist derzeit nicht präzisiert. Das ist für Unternehmen im DACH-Raum relevant, weil Xiongmai-Technik häufig in preisgünstigen Kameras anderer Marken steckt und im Bestand nicht immer als solche erkannt wird.
Besonders prüfen sollten Betreiber von Videoüberwachung in Filialen, Lagerhallen, Werkstätten, Wohnanlagen und kleineren Bürostandorten. Kritisch wird es dort, wo ONVIF aus anderen Netzen erreichbar ist, Fernzugriff unsauber umgesetzt wurde oder Standard- und Administratorkonten nie systematisch geprüft wurden.
Empfohlene Maßnahmen
Erstens: Prüfen Sie umgehend, ob in betroffenen Kameras Konten mit leerem Passwort existieren. Das ist die wichtigste Sofortmaßnahme, weil die beschriebene Ausnutzung genau daran ansetzt. Entfernen Sie leere Passwörter konsequent und setzen Sie für alle lokalen Konten starke, individuelle Kennwörter.
Zweitens: Begrenzen Sie die Erreichbarkeit der ONVIF- und Verwaltungsfunktionen strikt auf dedizierte Management-Netze. Kameras sollten nicht direkt aus dem Internet erreichbar sein. Filtern Sie Zugriffe per Firewall, deaktivieren Sie unnötige Portfreigaben und segmentieren Sie Videoüberwachung vom restlichen Unternehmensnetz.
Drittens: Inventarisieren Sie betroffene Geräte auch dann, wenn sie unter anderem Markennamen beschafft wurden. Prüfen Sie Firmwarestände gezielt auf XM530 und Versionen bis HMT.CM2005-v220608.1837. Ob ein Patch bereitsteht, ist nicht mitgeteilt.
Viertens: Kontrollieren Sie Protokolle und Konfigurationen auf ungewöhnliche ONVIF-Aktivitäten, etwa unerwartete PTZ-Bewegungen, Neustarts oder Zugriffe auf Stream-URLs. Wo Logging fehlt, sollte zumindest die Netzwerkkommunikation der Kameras eng überwacht werden.
Fünftens: Wenn Kameras betrieblich besonders sensibel sind, etwa in Sicherheitsbereichen oder produktionsnahen Zonen, ziehen Sie einen temporären Ausschluss von ONVIF oder eine Isolation bis zur Klärung des Firmwarestands in Betracht.
Einschätzung von CyberSecurity-News.de
Die technische Bewertung mit CVSS 9.8 ist nachvollziehbar, weil der Angriff remote und ohne Authentifizierung möglich ist. Für die reale Priorisierung zählt aber die Zusatzbedingung mit dem leeren Passwort. Dadurch ist die Lücke nicht automatisch ein flächendeckender Fernangriff auf jede installierte Kamera, sondern vor allem ein ernstes Risiko in schlecht gepflegten Beständen.
Problematisch ist die dünne Informationslage jenseits der NVD-Beschreibung. Es fehlen belastbare Angaben zu weiteren betroffenen Modellen, zu OEM-Ablegern und zu verfügbaren Korrekturen. Gerade bei Überwachungstechnik aus komplexen Lieferketten ist das ein praktisches Problem: Viele Betreiber wissen nicht sicher, welche Plattform tatsächlich im Gerät steckt.
Für Unternehmen im DACH-Raum ist das deshalb weniger ein Massenereignis als eine klare Aufforderung zu sauberem Geräte- und Passwortmanagement. Wer Kameras segmentiert, ONVIF nicht offen exponiert und leere Kennwörter ausgeschlossen hat, reduziert das Risiko sehr deutlich. Wer günstige Altgeräte ohne klare Herstellerpflege betreibt, sollte die Lücke ernst nehmen.
Fazit
Wenn Sie Xiongmai-basierte Kameras oder unklare OEM-Modelle im Einsatz haben, prüfen Sie jetzt zuerst auf leere Passwörter und isolieren Sie die Verwaltungszugänge. Ohne diese Fehlkonfiguration sinkt das unmittelbare Risiko deutlich, verschwinden tut es aber erst mit verifizierter Firmware-Prüfung und sauberer Netztrennung. Solange keine weitergehenden Herstellerinformationen vorliegen, ist vorsorgliche Härtung die wichtigste Maßnahme.
Quellenangabe
Weiterführende Informationen: NVD zu CVE-2026-79395
