Vidéo protection

AXIS Camera Station : sept failles dévoilées d’un coup, dont une notée 9,9

10 novembre 2026 Alexandre FAUVEL 4 min de lecture Actualité 0 vue

Fin octobre, je vous parlais de la faille qui dormait dans les sauvegardes d’AXIS Camera Station Pro. Le feuilleton continue : le 10 novembre 2026, Axis a levé le voile sur sept nouvelles vulnérabilités de son logiciel de gestion vidéo. Bonne nouvelle, les correctifs sont sortis depuis plusieurs semaines. Moins bonne nouvelle : un serveur de vidéoprotection, on le met rarement à jour « pour le plaisir »… 🙂

Ce qu’Axis a publié

Les sept CVE proviennent toutes du programme de bug bounty de l’éditeur. Les quatre déjà détaillées sont les suivantes :

CVE-2026-13312, CVSS 9,9 (critique) : un défaut de validation des entrées qui, selon Axis, peut permettre de compromettre le système. Elle touche AXIS Camera Station Pro avant la 6.17 et AXIS Camera Station 5 avant la 5.59 SR2.
CVE-2026-12964, CVSS 8,0 : un compte « viewer », c’est-à-dire en lecture seule, peut obtenir les droits administrateur. Elle concerne ACS Pro de la 6.6 à la 6.17 et elle est corrigée en 6.18.
CVE-2026-12389, CVSS 8,4 : un utilisateur authentifié disposant de privilèges élevés peut exécuter du code à distance, par désérialisation de données. Elle est corrigée en 6.18 (Pro) et en 5.59 (ACS 5).
CVE-2026-12963, CVSS 7,4 : un compte « viewer » peut accéder sans autorisation aux NAS raccordés au serveur. Elle est elle aussi corrigée en 6.18 et en 5.59.

Les trois autres (CVE-2026-8372 et CVE-2026-4762, notées 8,8, et CVE-2026-13387, notée 3,5) figurent dans les notes de version de la 6.18.25595, mais leur détail n’est pas encore publié. Pour celles qu’il a décrites, Axis indique n’avoir connaissance d’aucun exploit public ni d’aucune exploitation.

Ce qui me fait tiquer

Ce qui me gêne le plus, ce n’est pas le 9,9, c’est la famille « viewer ». Sur un site, le compte en lecture seule est celui que l’on distribue le plus facilement : l’agent du poste de garde, le responsable de site, le prestataire de maintenance, parfois un poste partagé en loge. On le croit inoffensif. Or deux de ces failles en font une porte vers l’administration du VMS et vers le stockage des enregistrements. La séparation des droits, que l’on présente au client comme une mesure RGPD (qui voit quoi, qui exporte quoi), ne tenait donc pas complètement.

Il faut relativiser : plusieurs scores supposent un attaquant déjà authentifié, voire présent sur le réseau adjacent. Mais c’est justement le rappel qu’un réseau vidéo doit être un réseau à part, et pas le VLAN bureautique « avec un mot de passe ». Et si vous utilisez Secure Entry, le module de contrôle d’accès intégré à ACS Pro, le même serveur pilote aussi des portes : l’enjeu dépasse alors la seule vidéo.

Ce que je ferais cette semaine

Relever la version de chaque serveur et viser la 6.20 pour ACS Pro : elle embarque ces correctifs et celui de la faille des sauvegardes d’octobre (pensez alors à supprimer les anciennes sauvegardes et à changer les identifiants enregistrés, comme le demande Axis). Pour ACS 5, montez au minimum en 5.59 SR2 et posez-vous la question de la migration.
Vérifier les prérequis avant la mise à jour : .NET 8 est exigé depuis la 6.17 et la liste des Windows pris en charge a évolué. Une mise à jour ratée sur un serveur d’enregistrement, c’est un trou dans les images.
Faire l’inventaire des comptes « viewer » : supprimer les comptes partagés et ceux qui ne servent plus, changer le mot de passe des autres, privilégier des comptes nominatifs.
Verrouiller le stockage : un compte de service dédié pour le NAS, un partage accessible uniquement depuis le serveur, et non depuis tout le réseau.
Cloisonner : serveur dans le VLAN sûreté, postes clients autorisés par filtrage, accès distant par VPN avec double authentification, jamais d’exposition directe sur Internet.

Mon avis

Je ne vais pas taper sur Axis : publier sept CVE issues de son propre bug bounty, avec des correctifs disponibles avant l’annonce, c’est exactement ce que l’on attend d’un constructeur sérieux, et tous ne le font pas. Mais la cadence (une faille en octobre, sept en novembre) montre qu’un VMS est un logiciel serveur comme un autre, avec son cycle de correctifs. Si votre contrat de maintenance prévoit le nettoyage des caméras mais pas la mise à jour du VMS, c’est le moment de le réécrire.

Sources

Commentaires

Aucun commentaire pour l'instant : lancez la discussion.