Ubiquiti opublikowało biuletyn bezpieczeństwa nr 070 dla UniFi Protect AI Key. To dodatkowe urządzenie do systemu kamer UniFi Protect, które lokalnie rozpoznaje obiekty, osoby i tablice rejestracyjne oraz przeszukuje nagrania. Biuletyn opisuje sześć luk. Według wpisów opublikowanych 14 października 2026 w amerykańskiej bazie podatności NVD wszystkie dotyczą oprogramowania AI Key starszego niż 2.2.8, a wersja 2.2.8 je usuwa.
Sześć luk
Wszystkie sześć ma w wektorze CVSS oznaczenia PR:N i UI:N. Atakujący nie potrzebuje więc konta ani żadnego działania ze strony użytkownika, wystarczy mu dostęp do urządzenia przez sieć.
| CVE | CVSS 3.1 | Co może zrobić atakujący |
|---|---|---|
| CVE-2026-110459 | 8,6 | Błędna kontrola dostępu: odczytać informacje, wprowadzić nieuprawnione zmiany i zablokować działanie urządzenia |
| CVE-2026-110455 | 8,1 | Brak sprawdzania danych wejściowych, który prowadzi do wstrzyknięcia poleceń na urządzeniu („w pewnych warunkach”) |
| CVE-2026-110454 | 5,3 | Błędna kontrola dostępu: dostać się przez urządzenie do zasobów wewnętrznych |
| CVE-2026-110456 | 5,3 | To samo, w pewnych warunkach |
| CVE-2026-110457 | 3,7 | Przejście poza katalog: poznać informacje o plikach na urządzeniu |
| CVE-2026-110458 | 3,7 | Przejście poza katalog: utworzyć albo wyczyścić pliki na urządzeniu |
Wstrzyknięcie poleceń ma wyższą złożoność ataku (AC:H), dlatego dostało niższą ocenę niż luka w kontroli dostępu. Ubiquiti nie wyjaśnia, o jakie „pewne warunki” chodzi, a serwis al-ice.ai, który 15 października przeanalizował biuletyn, nie znalazł żadnego publicznego opisu technicznego. W wydaniu katalogu CISA ze znanymi wykorzystywanymi lukami (KEV) z 16 października żadnej z sześciu nie było.
Niskie oceny nie oznaczają małego ryzyka
Według ocen najmniej groźne są dwa błędy przejścia poza katalog. Al-ice.ai zwraca jednak uwagę, że przy pięciu z sześciu wpisów w biuletynie Ubiquiti dopisało, że lukę można łączyć z innymi. Błąd, który zdradza, jakie pliki są na urządzeniu, i błąd, który pozwala je zapisywać, to właśnie takie elementy, dzięki którym trudniejsze wstrzyknięcie poleceń staje się łatwiejsze. Sześć osobnych ocen nie pokazuje więc całego ryzyka.
AI Key nie powinien być dostępny z internetu, więc „dostęp przez sieć” oznacza tu sieć lokalną albo VLAN, w którym są kamery. W wielu domach i małych biurach to ta sama płaska sieć, w której działa cała reszta sprzętu.
Co zrobić
- Sprawdź w UniFi Protect wersję oprogramowania AI Key i zaktualizuj ją do 2.2.8 lub nowszej. Według al-ice.ai informacje o wydaniu 2.2.8 podają, że wymaga ono UniFi Protect 7.2 lub nowszego, więc może się okazać, że najpierw trzeba zaktualizować samą aplikację Protect.
- Jeśli urządzenie aktualizuje się samo, może już mieć poprawkę. Al-ice.ai podaje, że wersja 2.2.8 trafiła do kanału stabilnego mniej więcej miesiąc przed publikacją biuletynu i była wtedy opisana tylko jako poprawa stabilności.
- Trzymaj kamery i sprzęt do nich w osobnym VLAN-ie i pozwól łączyć się z AI Key tylko aplikacji Protect. To nie usuwa luk, ale ogranicza grono tych, którzy mogą się do nich dostać.