SecBoard
Zurück zur Übersicht
Hoch49 / 100Konfidenz: Mittel
CVSS10.0Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Nutzern wird dringend empfohlen, den Kundensupport von Viidure zu kontaktieren, da keine Patches verfügbar sind.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 10.0+18
  • Hinweis auf verfuegbaren Angriffscode: public exploit+10
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-94204, CVSS-Vektor AV:N/PR:N)+10
  • Belegte ATT&CK-Technik zum Erstzugriff+6
  • Betrifft KRITIS-nahe Branche: energie+5

Woraus sich die Konfidenz ergibt

  • Nur ein Herausgeber — keine Gegenlesung
  • Darunter eine behoerdliche Primaerquelle
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Viidure Dashcam Android Application

ICS-CERT Advisories·
Originalartikel lesen bei ICS-CERT Advisories

Die Viidure Dashcam Android App (Version <=3.3.1.260403) weist kritische Sicherheitslücken auf, die Angreifern den Zugriff auf sensible Nutzerdaten, Live-Aufnahmen und Systemdateien ermöglichen. Betroffen sind alle Nutzer der genannten Version weltweit. Da Viidure keine Patches bereitstellt, wird Nutzern geraten, den Kundensupport des Herstellers zu kontaktieren.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen unbefugten Zugriff auf sensible Nutzerdaten und Live-Aufnahmen, was zu erheblichen Datenschutzverletzungen führen kann. Angreifer könnten zudem kritische Systemdateien manipulieren oder löschen.

Realistisch schlimmster Fall: Angreifer erlangen vollständige Kontrolle über die Dashcam-Daten, einschließlich Live-Aufnahmen und der Möglichkeit, Systemdateien zu modifizieren oder zu löschen, was zu Datenverlust und potenzieller Manipulation von Beweismaterial führen kann.

Empfehlung: Nutzern wird dringend empfohlen, den Kundensupport von Viidure zu kontaktieren, da keine Patches verfügbar sind. Eine Deinstallation der App sollte in Betracht gezogen werden, bis eine sichere Lösung bereitgestellt wird.

Key Facts

 

CVSS
10.0 · CRITICAL
EPSS
unbekannt
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
ics-cert@hq.dhs.gov
CVSS
7.5 · HIGH
EPSS
unbekannt
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
Patch
unbekannt
Zuweisende CNA
ics-cert@hq.dhs.gov

Betroffen

Alle Nutzer der Viidure Dashcam Android App (Version <=3.3.1.260403) sind weltweit betroffen.

Prüfen

3
  • ▸Überprüfen Sie, ob die Viidure Dashcam Android App (Version <=3.3.1.260403) in Ihrer Organisation verwendet wird.
  • ▸Stellen Sie sicher, dass keine sensiblen Daten über diese Anwendung verarbeitet oder gespeichert werden.
▸ 1 weitere
  • ▸Überwachen Sie den Netzwerkverkehr von Geräten mit dieser App auf ungewöhnliche Zugriffe auf Cloud-Speicher oder Systemdateien.

Offene Punkte

3
▸ anzeigen
  • ▸Es ist unklar, ob Viidure plant, zukünftig Patches bereitzustellen.
  • ▸Der genaue Umfang der betroffenen Systemdateien, die modifiziert oder gelöscht werden können, ist nicht spezifiziert.
  • ▸Es gibt keine Informationen über die Art der 'sensiblen Nutzerdaten'.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Ja
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir VPN extern erreichbar?
  • Können wir Initial Access detektieren?
  • Können wir Stealth detektieren?

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1119Automated Collectionzugeordnet

„Zugriff auf sensible Nutzerdaten, Live-Aufnahmen“

T1490Inhibit System Recoveryzugeordnet

„Angreifer könnten kritische Systemdateien modifizieren oder löschen“

T1552.001Unsecured Credentials: Credentials in Fileszugeordnet

„hard-coded credentials“

T1566Phishingabgeleitet
T1684Social Engineeringabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

1

›

Ausnutzung

0

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

ICS-CERT AdvisoriesPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

  • Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.