26 października 2026 w amerykańskiej bazie podatności NVD pojawiły się trzy wpisy dotyczące kamer Yoosee na układzie Grain Media GM8135S. Obejmują oprogramowanie układowe do wersji 21.00.01.36 włącznie, a być może także inne wersje. Producent, firma Shenzhen Gwell Times, nie odpowiedział badaczowi i nie wydał poprawki. Opis badań i kroki odtworzenia ataku są publiczne.

Według badacza takie kamery kosztują na platformach Lazada, Shopee i TikTok Shop 400-800 pesos filipińskich, czyli mniej więcej 6-12 euro. Konfiguruje się je w aplikacji Yoosee na telefon, więc nazwa aplikacji to często najprostszy sposób, żeby sprawdzić, czy tania kamera należy do tej rodziny.

Obraz na żywo jawnym tekstem, przez internet

Badacz publikujący jako Brylle podłączył kamerę przez laptopa pełniącego funkcję routera i przechwytywał ruch Wiresharkiem, gdy aplikacja Yoosee pokazywała podgląd na żywo. Proces /npc/npc w kamerze wysyłał obraz jako surowe ramki H.264 po UDP na publiczny adres IP, bez żadnego szyfrowania. Wystarczyło odciąć 80-bajtowy nagłówek z każdego pakietu, żeby odtworzyć nagranie w ffplay albo przekonwertować je do MP4.

Obraz obejrzy więc każdy, kto widzi ten ruch: inne urządzenie w tej samej sieci, przejęty router albo ktoś na trasie do serwerów Yoosee. To podatność CVE-2026-116114. VulDB, który nadał identyfikatory, ocenia, że da się ją wykorzystać zdalnie, ale nie jest to łatwe.

Kamera sama dołącza do otwartych sieci

Druga podatność, CVE-2026-116115, tkwi w domyślnych ustawieniach Wi-Fi. Kamera ma pliki wpa_supplicant, przez które automatycznie łączy się z otwartymi sieciami o nazwach od „Free-AP0” do „Free-AP3”. Badacz uruchomił na telefonie punkt dostępu bez hasła o nazwie Free-AP0 i kamera od razu się z nim połączyła. Napastnik w pobliżu może wyrzucić kamerę z jej zwykłej sieci atakiem deautentykacji, poczekać, aż kamera połączy się z jego punktem dostępu, i przechwycić nieszyfrowany obraz.

Bez sprawdzania podpisu oprogramowania

Trzecia, CVE-2026-116116, dotyczy samego oprogramowania układowego. Da się je odczytać z kości pamięci flash XM25QH64, zmienić i zapisać z powrotem, a kamera uruchomi zmieniony obraz bez sprawdzenia podpisu. Wymaga to fizycznego dostępu. VulDB ocenia tę podatność na 8,4 w skali CVSS 4.0.

Co mogą zrobić właściciele

Według opisu badacza producent dostał zgłoszenie mailem 6 czerwca 2026, a opis trafił do sieci 20 lipca. Wpisy CVE pojawiły się dopiero teraz, a aktualizacji nadal nie ma. Badacz radzi:

  • Przenieść kamerę do osobnej sieci VLAN dla urządzeń IoT i zablokować jej zaporą wyjście do internetu.
  • Do podglądu zdalnego brać lokalny strumień RTSP z portu 554 do własnego rejestratora, na przykład Frigate, i udostępniać go przez TLS zamiast przez chmurę aplikacji Yoosee.
  • W miarę możliwości podłączyć kamerę kablem Ethernet, żeby nikt nie przepiął jej do fałszywej sieci Free-AP.
  • Jeśli nic z tego nie wchodzi w grę, wymienić ją na kamerę, która domyślnie szyfruje obraz.