Sicherheitsforscher meldet fünf Schwachstellen in der Kameraplattform von Meari

Wer eine Babyphone-Kamera mit App kauft, entscheidet sich für ein Gerät und eine Marke. Die Cloud, über die dieses Gerät spricht, kommt in der Kaufentscheidung nicht vor. Im Mittelpunkt eines Berichts, den der unabhängige Sicherheitsforscher Sammy Azdoufal am 11. Mai 2026 veröffentlicht hat, steht genau diese Ebene. Er beschreibt fünf Schwachstellen in der Plattform des chinesischen Auftragsherstellers Meari Technology, über die konservativ geschätzt 1,1 Millionen registrierte Geräte in mehr als 118 Ländern laufen. Die technische Pointe liegt im Nachrichtenkanal, der Kamera und App verbindet.

Eine Plattform, viele Marken

Der Hersteller aus Hangzhou verkauft selten unter eigenem Namen. Nach Angaben des Berichts entwickelt Meari Kamera, Firmware, Cloud und App als Gesamtpaket und liefert es an Marken, die ihr eigenes Logo auf die Verpackung setzen. Als hauseigene Verbrauchermarke nennt der Bericht CloudEdge; mehr als 300 Partnermarken nutzen laut Azdoufal dasselbe Backend, darunter Arenti, BOIFUN, PetTec und Luvion. Für Käufer bleibt diese gemeinsame Basis unsichtbar, weil auf der Verpackung nur die Marke steht und nicht die Plattform, mit der die Kamera spricht.

Die Größenordnung leitet der Forscher aus zwei internen Datenbeständen ab, die er während der Prüfung einsehen konnte. Eine Tabelle mit Gerätestandorten umfasste nach dem Bericht 825.194 Zeilen, eine Lizenztabelle auf dem US-Backend 1.160.795 Zeilen. Zu den Geräten zählt der Bericht neben Babyphone-Kameras auch Überwachungskameras und Türklingeln.

Der Wechsel zu einer anderen Marke führt damit nicht zwangsläufig auf eine andere Infrastruktur. „Eine Kamera im Kinderzimmer ist ein Versprechen, dass nur die Eltern hinsehen. Dieses Versprechen wird nicht auf der Verpackung gehalten, sondern auf einem Server, dessen Namen die Käufer nie gehört haben. Wer die Marke wechselt, wechselt hier nicht die Plattform, und genau das macht den Fall größer als jeden einzelnen Hersteller“, sagt Alexander Weipprecht, Geschäftsführer der Provimedia GmbH.

Ein Vermittler ohne Zugriffskontrolle je Gerät

Für den Austausch zwischen Kamera und App setzt die Plattform auf MQTT, ein Nachrichtenprotokoll für vernetzte Geräte. Das Grundprinzip: Ein zentraler Vermittler nimmt Meldungen an und verteilt sie an Abonnenten, die zuvor ein Thema abonniert haben. Ob ein Abonnement zulässig ist, entscheidet die Zugriffskontrolle des Vermittlers, und genau dort setzt der schwerwiegendste Befund an.

Nach Angaben von runZero fehlte diesem Vermittler eine Kontrolle je Gerät. Jedes Konto mit niedrigen Rechten konnte ein Platzhalter-Thema abonnieren und erhielt daraufhin Meldungen von Geräten, die ihm nicht gehörten. Die Menge war messbar: Ein einzelner regionaler Vermittler lieferte nach dem Bericht in fünf Minuten 14.204 Meldungen von 2.117 verschiedenen Geräten, mit Länderkennungen aus über 85 Staaten.

In den mitgelesenen Meldungen steckten Bewegungsalarme samt Bildadressen, Einrichtungsereignisse mit Nutzerkonten und Freigabeereignisse mit Zugangsschlüsseln. Ein Passwort auf dem eigenen Konto schützte davor nicht, weil der Vermittler die Meldungen an jeden Abonnenten weitergab.

Eine Schnittstelle liefert die IP-Adresse zu jeder Seriennummer

Eine zweite Lücke ergänzte die erste. Nach Angaben von runZero gab eine Programmierschnittstelle zu jeder Seriennummer die öffentliche Internetprotokoll-Adresse (IP) des Geräts heraus, ohne dass dafür ein Nutzerkonto nötig war. Damit ließen sich Kamerastandorte bis auf Stadtebene zuordnen; der Bericht nennt 13.734 so aufgelöste Geräte. Die Seriennummer taucht nach den Befunden auch in den Ereignismeldungen auf, die über den Nachrichtenkanal liefen.

Alarmbilder in einem offenen Speicherbereich

Die Bilder der Bewegungsalarme lagen offen. Nach dem Bericht lud die Plattform Schnappschüsse in öffentliche Speicherbereiche eines Cloud-Anbieters, ohne Signatur, ohne Zugangstoken und ohne Ablaufdatum. Die Adresse jedes Bildes stand im Klartext in der Meldung und war damit für jeden Abonnenten mitlesbar. Eine 72 Sekunden lange Aufzeichnung ergab nach Angaben des Forschers 51 Bildadressen von 29 Kameras; eine interne Tabelle listete 39.514 unverschlüsselte Alarmbilder von 9.809 Geräten.

Bei den Babyphone-Modellen kam eine Verschlüsselung hinzu, die nur einen Teil des Bildes abdeckte. Nach dem Bericht waren bei diesen Geräten lediglich die ersten 1.024 Bytes jedes Bildes mit einem Schlüssel verrechnet, der sich aus der Seriennummer ableiten ließ. Seriennummer und Bildadresse standen in derselben Meldung, sodass Schlüsselgrundlage und verschlüsselte Daten gemeinsam vorlagen.

Dieselben Schlüssel in jeder App

In jeder App der Plattform steckten nach Angaben von runZero dieselben festen kryptografischen Schlüssel. Diese Schlüssel lassen sich ohne Neuinstallation der Firmware auf allen Geräten nicht austauschen. Mit der Bewertung 8,6 trägt dieser Befund den höchsten Wert im Bündel.

Kennungen, Bewertungen und der Ablauf der Offenlegung

Die Befunde tragen amtliche Kennungen im internationalen Verzeichnis für Sicherheitslücken (CVE) und Bewertungen nach dem Common Vulnerability Scoring System (CVSS), einer Skala von null bis zehn. Der Bericht des Forschers und die Advisories von runZero vom 11. Mai 2026 listen fünf Punkte auf: CVE-2026-33356 für die fehlende Zugriffskontrolle je Gerät im Nachrichtenkanal mit der Bewertung 7,7; CVE-2026-33357 für die Herausgabe der IP-Adresse zu jeder Seriennummer mit 7,5; CVE-2026-33359 für die Alarmbilder ohne Zugriffsschutz und ohne Ablaufdatum im Cloud-Speicher mit 7,5; CVE-2026-33361 für die schwache Verschleierung der Babyphone-Bilder mit 7,5; CVE-2026-33362 für die fest hinterlegten kryptografischen Schlüssel in den Apps mit 8,6.

Die Vergabe der Kennungen koordinierte das Sicherheitsunternehmen runZero, das die Befunde am selben Tag in eigenen Advisories veröffentlichte. Der Fall wurde nach Angaben von runZero am 3. April 2026 unter der Vorgangsnummer 579666 bei der US-Behörde für Cybersicherheit (CISA) zur Nachverfolgung angelegt.

Bis zur Veröffentlichung zog sich der Vorgang über Wochen. Die Prüfung begann laut dem Bericht am 2. März 2026, der Hersteller antwortete auf Kontaktversuche erstmals am 11. März 2026, eine Vereinbarung über die Offenlegung wurde am 28. April 2026 unterzeichnet. Zwei ursprünglich gemeldete Befunde strich der Forscher nach einer erneuten Prüfung aus dem Bericht, weil sie sich nicht mehr bestätigen ließen.

Was ein Firmware-Update nicht behebt

Ein Firmware-Update auf der Kamera behebt die zentralen Punkte des Berichts nicht. Nach Darstellung des Forschers liegen die Lücken im Nachrichtenkanal und im Bildspeicher auf der Plattformseite, wo nur der Betreiber sie schließen kann. Betroffene erkennen die Plattform laut dem Bericht daran, mit welchem Server ihre Kamera-App kommuniziert; die Marke auf der Verpackung ist dafür kein Anhaltspunkt.

Für den Alltag empfiehlt der Bericht, die Kamera vom Strom zu trennen, wenn sie nicht gebraucht wird. Ein Passwort auf dem eigenen Konto verhindert fremde Anmeldungen, nicht aber die Weitergabe von Ereignismeldungen durch den Vermittler. Bereits hochgeladene Alarmbilder lassen sich nach Angaben des Forschers vom Kunden nicht löschen; über die Aufbewahrung entscheidet der Betreiber.

Der Bericht vom Mai 2026 beschreibt den Stand zum Zeitpunkt der Veröffentlichung. Ob und welche Lücken der Hersteller seither auf der Plattform geschlossen hat, ist in den öffentlichen Advisories nicht dokumentiert.