Vulnerabilità ed exploit
CISA ha divulgato nove vulnerabilità nel firmware di Kiloview E3 NDI Encoder precedente alla 1.30: alcune consentono modifiche di configurazione senza autenticazione, altre l’esecuzione persistente di comandi come root da parte di un utente autenticato.
Il servizio ONVIF accetta alcune richieste remote per cambiare nome host, DNS e server orario senza verificare chi le invia: tratta così una richiesta remota come una modifica autorizzata. Separatamente, un utente autenticato abilitato a configurare rotte statiche può eseguire comandi di sistema come root; la configurazione malevola sopravvive ai riavvii. La compromissione può esporre credenziali e materiale crittografico salvati sul dispositivo.
Kiloview indica la versione 1.30 come correzione. Per chi gestisce questi encoder, il solo controllo degli accessi alla console web non delimita l’esposizione: il percorso ONVIF senza autenticazione resta distinto e una compromissione può lasciare un accesso persistente.
1 fonte · 1 giorno fa
CVE in questo aggiornamento
9 CVE
Distribuite tra E3 Firmware.
3 critiche · 3 alte · 3 medie · 0 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-107861 · 9.9 CRITICAL
CISA Advisories
Kiloview E3 NDI Encoder | CISA
View CSAF Summary Successful exploitation of this these vulnerabilities could allow an attacker to fully compromise the device.
originalePart of the PlainSec briefing for 2026-10-23
Every edition of this story: Il login non basta a proteggere gli encoder Kiloview E3