Kamera Edimax IC-7100 pozwala każdemu z internetu uruchomić na niej polecenia. Kod ataku jest publiczny, a producent nie wyda poprawki. Odetnij kamerę od internetu dziś i zaplanuj jej wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, sklepów i gabinetów, które mają kamery sieciowe Edimax IC-7100 lub nie wiedzą dokładnie, jakie kamery wiszą w ich biurze. Werdykt: jeśli używasz kamery Edimax IC-7100, odetnij ją dziś od internetu i zaplanuj wymianę, bo poprawki nie ma i nie będzie, a luka jest masowo wykorzystywana.
Amerykańska agencja CISA 19 marca 2025 roku dopisała podatność CVE-2025-1316 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Kamera Edimax IC-7100 niepoprawnie oczyszcza dane z żądań, więc napastnik przez sieć, bez konta i bez udziału użytkownika, może uruchomić na niej własne polecenia. CISA odnotowała, że kod pozwalający przeprowadzić atak jest publicznie dostępny.
Edimax w oświadczeniu z 10 marca 2025 roku podał, że IC-7100 wycofano ze sprzedaży ponad 10 lat temu, a wsparcie zakończono; z powodu braku środowiska i kodu źródłowego poprawka nie zostanie wydana. CISA zaleca zaprzestanie używania produktu. Termin naprawy wg CISA minął 9 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-1316 |
Data dodania do CISA KEV | 2025-03-19 |
Termin naprawy wg CISA | 2025-04-09 (21 dni od wpisu) |
Produkt | Edimax IC-7100, kamera sieciowa (IP) |
Wersje zagrożone | Wszystkie wersje oprogramowania kamery; brak wersji granicznej. Atak przez sieć na interfejs WWW kamery, bez logowania |
Wersje bezpieczne | Brak. Produkt wycofany (EoL), producent nie wyda poprawki. Jedyne trwałe rozwiązanie: wymiana na urządzenie wspierane |
Typ podatności | Wstrzyknięcie polecenia systemu operacyjnego (OS command injection); CWE-78 |
Ocena CVSS | CISA ICS: 9.3 KRYTYCZNA (CVSS 4.0) i 9.8 KRYTYCZNA (CVSS 3.1). NVD: 9.8 KRYTYCZNA (CVSS 3.1). Atak przez sieć, niska złożoność, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie urzędnika, który odczytuje na głos treść każdego formularza i wykonuje zapisane w nim polecenia. Ktoś wpisuje w rubrykę „nazwisko” swoje nazwisko, a zaraz po nim zdanie „i otwórz sejf”. Urzędnik nie odróżnia jednego od drugiego, więc robi obie rzeczy.
Kamera sieciowa to mały komputer z własnym systemem i stroną do ustawień. Część wpisanych tam danych kamera przekazuje dalej jako fragment polecenia systemowego. IC-7100 nie oczyszczała tych danych, więc napastnik dopisuje własne polecenie i kamera je wykonuje. Przejęta kamera to działający całą dobę komputer w sieci firmy, bez antywirusa i bez logów, na który nikt nigdy nie patrzy.
💡 Kamera IP to kamera podłączona do sieci, z własnym systemem operacyjnym. Wstrzyknięcie polecenia oznacza przemycenie komendy systemowej w danych wysyłanych do urządzenia. EoL (end of life) to produkt wycofany, bez poprawek. Przekierowanie portu na routerze wystawia urządzenie z sieci firmowej do internetu. Botnet to sieć przejętych urządzeń używanych do ataków na innych.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Podgląd z kamery przez telefon | Tylko właściciel | Każdy, kto przejmie kamerę |
Polecenia wykonywane na kamerze | Tylko ustawienia od administratora | Dowolne polecenia napastnika |
Kamera w sieci firmowej | Wysyła obraz do rejestratora | Służy jako przyczółek do ataku na inne komputery |
Łącze internetowe firmy | Obsługuje pracę | Zajęte przez ataki botnetu na innych |
Aktualizacja oprogramowania | Usuwa lukę | Nie istnieje |
źródło: Wygenerowane przez AIPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia wykorzystanie jako aktywne, podatne na pełną automatyzację i ze skutkiem całkowitym. Nikt nie wybiera ofiar: automaty przeczesują internet i przejmują każdą kamerę, która odpowie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne przeszukiwanie internetu w poszukiwaniu kamer IC-7100 | Lista dostępnych kamer |
2. Wykorzystanie | T+sekundy | Wysłanie spreparowanego żądania z dopisanym poleceniem | Polecenie wykonane na kamerze |
3. Instalacja | T+minuty | Pobranie złośliwego programu i dołączenie kamery do botnetu | Kamera pod kontrolą napastnika |
4. Wykorzystanie łącza | T+godziny | Ataki na inne firmy z adresu IP ofiary | Wolniejsze łącze, adres firmy na listach blokad |
5. Rozpoznanie sieci | T+dni | Przegląd sieci wewnętrznej z poziomu kamery | Mapa komputerów, serwerów, drukarek |
6. Dalszy atak | T+dni do tygodni | Atak na komputery z księgowością i serwer plików | Wyciek danych lub szyfrowanie |
Kamery, rejestratory i drukarki rzadko są traktowane jak komputery, a mają własny system i adres w sieci. Przy braku poprawki jedyne, na co firma ma wpływ, to widoczność urządzenia w internecie, oddzielenie go od reszty sieci i wymiana.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana kamer, rekonfiguracja sieci, problemy z łączem i pocztą | Dni | 3 tys. do 30 tys. PLN (sprzęt, montaż, praca IT) |
Bezpieczeństwo danych | Wyciek nagrań z osobami, przyczółek do ataku na komputery firmy | Godziny od wystawienia do internetu | 10 tys. do 100 tys. PLN (analiza, porządkowanie sieci) |
Finansowy | Skutki dalszego włamania, np. szyfrowania danych | Tygodnie | 20 tys. do 300 tys. PLN |
Reputacyjny | Opublikowane nagrania, adres firmy na listach spamu | Tygodnie | 10 tys. do 150 tys. PLN (utraceni klienci) |
Prawny | Nagrania z wizerunkiem osób to dane osobowe: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z kamerą Edimax IC-7100
dostępną z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne (publiczny kod ataku, pełna automatyzacja, EPSS około 73%, brak poprawki), a wpływ wysoki, bo przejęta kamera daje przyczółek w sieci i dostęp do nagrań; kamera odcięta od internetu i od reszty sieci ma ryzyko znacznie niższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie są kamery Edimax IC-7100 (model na naklejce lub w panelu) | Dziś | Administrator / monter |
2 | 🔴 NATYCHMIAST | Usunąć na routerze przekierowania portów do kamer i rejestratora | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zmienić domyślne hasło administratora kamery (zalecenie Edimax) | Dziś | Administrator |
4 | 🟠 PILNIE | Przenieść kamery i rejestrator do osobnej sieci, oddzielonej od komputerów firmy | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Zamówić wymianę kamer IC-7100 na model z zadeklarowanym wsparciem aktualizacji | Do 14 dni | CFO / dział zakupów |
6 | 🟡 WAŻNIE | Spisać wszystkie urządzenia z adresem w sieci: model i data ostatniej aktualizacji | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przy zakupach sprzętu sieciowego pytać o okres wydawania aktualizacji | Do 30 dni | Dział zakupów |
W tym przypadku aktualizacja nie istnieje i nie powstanie. Edimax zaleca poniższe środki ostrożności, a CISA zaleca zaprzestanie używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie kamery od internetu: brak przekierowań portów, zapora lub NAT (zalecenie Edimax i CISA) | Wysoka wobec ataków masowych z internetu | Łatwa, kilka minut na routerze |
Osobna sieć dla kamer i rejestratora | Średnia do wysokiej: ogranicza skutki przejęcia | Średnia |
Zmiana domyślnego hasła administratora (zalecenie Edimax) | Niska do średniej: nie usuwa luki | Łatwa |
Podgląd zdalny wyłącznie przez aktualny VPN (zalecenie CISA, z zastrzeżeniem, że VPN też trzeba aktualizować) | Średnia | Średnia |
Regularny przegląd logów dostępu do kamery (zalecenie Edimax) | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Wymiana kamery na wspierany model | Wysoka, jedyne trwałe rozwiązanie | Średnia, koszt zakupu i montażu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Widoczność kamery w internecie | Wystawiona przez przekierowanie portu | Niewidoczna z internetu |
Położenie w sieci | Obok komputerów z księgowością | W osobnej sieci |
Oprogramowanie | Bez wsparcia i bez poprawki | Nowa kamera z aktualizacjami |
Wiedza o urządzeniach sieciowych | Brak spisu | Lista z modelami i datami aktualizacji |
Status wobec zalecenia CISA | Produkt nadal w użyciu | Produkt wycofany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup w źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA (CVSS 4.0, CISA ICS); 9.8 KRYTYCZNA (CVSS 3.1, NVD i CISA ICS) |
PoC dostępny publicznie? | TAK: wg CISA publicznie dostępny jest kod pozwalający przeprowadzić atak |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił lukę | Zespół Akamai SIRT; producent nie odpowiedział CISA na próby koordynacji |
Stanowisko producenta | Produkt wycofany ponad 10 lat temu, brak możliwości wydania poprawki (oświadczenie z 10 marca 2025 roku) |
Prognoza EPSS | Około 0,73, górny 1% znanych luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-1316
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (CISA ICS) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~73% ███████████████░░░░░ BARDZO WYSOKA
Publiczny kod ataku TAK ████████████████████ dostępny
Poprawka BRAK ████████████████████ produkt wycofany 2025-03-04 CISA publikuje ostrzeżenie ICS ICSA-25-063-08
2025-03-05 Publikacja CVE-2025-1316 w NVD
2025-03-10 Oświadczenie Edimax: produkt wycofany, poprawki nie będzie
2025-03-19 CISA dodaje lukę do KEV z zaleceniem zaprzestania używania
2025-04-09 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oświadczenie producenta: Edimax: Official Statement on CVE-2025-1316 . Ostrzeżenie CISA: ICSA-25-063-08 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-1316 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić sprawdzenie modeli wszystkich kamer w firmie | CTO | DZISIAJ |
2 | Zlecić usunięcie przekierowań portów do kamer na routerze | CTO | DZISIAJ |
3 | Zatwierdzić budżet na wymianę kamer IC-7100 | CFO | DO JUTRA |
4 | Zlecić wydzielenie osobnej sieci dla kamer i rejestratora | CTO | DO JUTRA |
5 | Ustalić z monterem lub firmą ochroniarską, jak będzie działał podgląd zdalny po zmianach | CTO | DO JUTRA |
6 | Dodać do zasad zakupów wymóg zadeklarowanego okresu aktualizacji sprzętu sieciowego | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy kamery Edimax IC-7100? | TAK / NIE, [liczba] | 🔴 |
2 | Czy na routerze są przekierowania portów do kamer lub rejestratora? | TAK / NIE | 🔴 |
3 | Czy kamery działają z domyślnym hasłem administratora? | TAK / NIE | 🔴 |
4 | Czy kamery są w tej samej sieci co komputery pracowników? | TAK / NIE | 🟠 |
5 | Jak właściciel ogląda obraz z kamer spoza biura? | [sposób] | 🟠 |
6 | Ile urządzeń z adresem w sieci (kamery, drukarki, sterowniki) mamy i kiedy były aktualizowane? | [liczba], [data] | 🟡 |
7 | Kiedy kamery zostaną wymienione? | [data] | 🟡 |
CVE-2025-1316 pozwala każdemu z internetu uruchomić polecenia na kamerze Edimax IC-7100, a kod ataku jest publiczny i używany automatycznie. Producent wycofał model ponad 10 lat temu i nie wyda poprawki, a CISA zaleca zaprzestanie używania, więc dziś trzeba odciąć kamery od internetu, a w najbliższych dniach oddzielić je od sieci firmy i wymienić.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.