Vidéo protection
AXIS OS et Secure Entry : seize bulletins d’un coup, cette fois c’est le firmware qui passe à la caisse
Mardi dernier, je vous parlais des sept failles d’AXIS Camera Station. Je pensais le dossier Axis refermé pour un moment… raté 🙂. Le 11 novembre, Axis a publié d’un coup seize bulletins de sécurité, relayés le lendemain par le CERT-FR (avis CERTFR-2026-AVI-1523). On y retrouve celles du logiciel de gestion vidéo, mais aussi, et c’est ce qui m’intéresse aujourd’hui, une série de failles dans AXIS OS, le système qui tourne dans les caméras, les haut-parleurs, les interphones et les contrôleurs de porte de la marque.
Ce qui est nouveau dans cette fournée
- CVE-2026-63288, CVSS 8,3 (AXIS OS Secure Entry) : une requête WebSocket adressée à un point d’accès de l’API donne accès à un autre point d’accès sans passer par l’authentification prévue. Elle touche la branche d’AXIS OS dédiée à Secure Entry, l’offre de contrôle d’accès d’Axis, et elle est corrigée en 12.11.106.1. C’est la plus sévère du lot côté équipements.
- CVE-2026-63282, CVSS 6,5 : un mauvais échappement des guillemets dans une commande shell permet une injection de commandes et, potentiellement, une élévation de privilèges.
- CVE-2026-14542, CVSS 6,5 : l’API VAPIX de configuration SIP ne contrôle pas assez ce qu’on lui envoie, avec là aussi un risque d’élévation de privilèges.
- CVE-2026-9063 (6,7), CVE-2026-13409 (4,3) et CVE-2026-14543 (3,9) : une élévation de privilèges locale, un déni de service de la fonction d’incrustation (overlay) et un contournement de l’isolation du système de fichiers via l’API de stockage embarqué.
- Côté logiciels : deux nouvelles failles d’AXIS Camera Station, dont la CVE-2026-63286 (7,1) sur les sauvegardes de la base de données, exposées à des attaques hors ligne (corrigée en ACS Pro 6.20). S’y ajoute la CVE-2026-14918 (5,3), qui peut faire planter les outils de vérification de la vidéo signée (Signed Video Framework, Signed Media Verifier, AXIS File Player). Axis précise que la signature vidéo produite par les caméras n’est pas touchée.
Aucun des documents que j’ai consultés ne signale d’exploitation à ce jour. Les corrections sont publiées.
Les versions à viser
| Branche | Version minimale (CVE-2026-63282, la plus récente) |
|---|---|
| AXIS OS Active | 13.0.84 |
| AXIS OS LTS 2026 | 12.11.123 |
| AXIS OS LTS 2024 | 11.11.231 |
| AXIS OS LTS 2022 | 10.12.354 |
| Anciennes branches | 9.80.153, 8.40.112, 6.50.5.23 |
| AXIS OS Secure Entry | 12.11.106.1 |
| AXIS Camera Station Pro | 6.20 |
Petite précision : l’avis du CERT-FR et les bulletins d’Axis n’affichent pas toujours exactement le même numéro de build pour une branche donnée (11.11.228 contre 11.11.231, par exemple). Dans le doute, prenez la dernière version publiée de votre branche sur le site d’Axis.
Mon regard d’intégrateur
Ce qui me plaît chez Axis, c’est la transparence : un programme de bug bounty, des bulletins détaillés, des branches LTS qui permettent de corriger sans changer de fonctionnalités. Beaucoup de constructeurs pourraient en prendre de la graine. Ce qui me fait tiquer, en revanche, c’est la réalité du terrain : un parc de deux cents caméras ne se met pas à jour en un clic, et le firmware d’une caméra est souvent le dernier de la liste des priorités de maintenance.
Deux points retiennent mon attention. D’abord la faille Secure Entry : un contournement d’authentification sur un équipement qui commande des portes, c’est de la sûreté physique, pas seulement de l’informatique. Ensuite l’API SIP : sur les interphones et les haut-parleurs réseau, le SIP est justement ce qui dialogue avec l’IPBX, souvent sur un réseau partagé avec la téléphonie. Ces deux familles d’équipements méritent de passer en tête de la campagne de mises à jour.
Ce que je ferais cette semaine
- Inventorier les versions avec AXIS Device Manager, qui sait aussi pousser les firmwares par lots.
- Commencer par les contrôleurs de porte Secure Entry, puis les interphones et haut-parleurs SIP, puis les caméras.
- Vérifier qu’aucun équipement n’est joignable depuis Internet ni depuis le réseau bureautique : le réseau de sûreté reste un réseau à part, filtré par un pare-feu.
- Désactiver les services inutilisés (SIP sur une caméra qui ne s’en sert pas, par exemple) et réserver les comptes administrateurs aux seuls mainteneurs.
- Prévoir un créneau de maintenance : une mise à jour redémarre l’équipement, et une porte ou une caméra hors service quelques minutes, ça se prévient.
En résumé : pas de panique, mais pas d’attente non plus. Une caméra ou un contrôleur de porte à jour, c’est le minimum syndical d’une installation de sûreté digne de ce nom.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.