15 października 2026 NVD opublikowało lukę CVE-2026-111281 w kamerach IP Jooan JA-A12 na oprogramowaniu 009_20171107 i 05.02.31.105. VulnCheck ocenia ją na 9,3 w skali CVSS v4.0. Ktokolwiek dotrze do lokalnego interfejsu HTTP kamery, może włączyć tryb diagnostyczny producenta hasłem wpisanym na stałe w aplikacji Cam720 na Androida, a potem podawać polecenia powłoki daemonowi jooandiag z uprawnieniami roota. NVD nie podaje poprawionego oprogramowania.
Jak przebiega atak
Aplikacja Cam720 ukrywa ścieżkę diagnostyczną dla serwisanta. Gdy ta ścieżka startuje, telefon prosi chmurę Jooan o kod autoryzacji, a potem wywołuje http://<adres-kamery>/goform/SingleHandlebyCommand z singleCMD=SetDiagMode. W żądaniu są userid=admin oraz userkey równe MD5 z admin123 - ta sama para na każdym urządzeniu, możliwa do odczytania z APK. Żądanie podaje też, na jaki adres i port w sieci LAN kamera ma odesłać sesję diagnostyczną.
Proces jooanipc na kamerze przyjmuje to żądanie i uzbraja jooandiag przez lokalny gniazdo UNIX. Daemon otwiera połączenie TCP z powrotem na adres z żądania, wysyła kod autoryzacji jawnym tekstem i traktuje kolejne, szyfrowane AES ładunki jako polecenia powłoki, chyba że zawierają ciąg keepalive DiagnosisStatus. Napastnik w tej samej sieci może pominąć chmurę: wybrać dowolny sześciocyfrowy kod, wysłać SetDiagMode z zahashowanym fabrycznym hasłem, nasłuchiwać na oddzwonienie i dostarczyć zaszyfrowane polecenie. Badacze Rahul R, Abdulrahman Aldossary i Saleh Alghamdi pokazali w ten sposób powłokę roota; opis obejmuje też pokrewne kamery linii C9, które dzielą tę ścieżkę diagnostyczną.
Co to oznacza w domu
Luka wymaga dostępu sieciowego do portu WWW kamery, a nie sama w sobie ataku z internetu. W płaskiej domowej sieci Wi-Fi to jednak niski próg: wystarczy przejęty telefon, laptop gościa albo inne urządzenie IoT w tej samej podsieci. Z rootem na kamerze napastnik może oglądać obraz, zmieniać konfigurację i użyć urządzenia jako przyczółka wobec reszty sieci lokalnej.
NVD nie wskazuje poprawionej wersji. Jedno z wymienionych oprogramowań pochodzi z 2017 roku. Dopóki Jooan nie wyda obrazu bez fabrycznego logowania i z utwardzonym jooandiag, praktyczne kroki to izolacja i wymiana: trzymaj każdą JA-A12 z dala od internetu (bez przekierowań portów i bez UPnP), umieść kamery w osobnej sieci VLAN, która rozmawia tylko z rejestratorem, i zaplanuj wymianę nieutrzymywanych egzemplarzy na model, który nadal dostaje aktualizacje. Sprawdź ciąg wersji oprogramowania na każdej kamerze względem dwóch podanych wyżej kompilacji; nieznane albo starsze wersje traktuj jako podatne, dopóki producent nie powie inaczej.