Aygıtları tam uzaktan devralmaya maruz bırakarak, yaygın olarak kullanılan bir Dahua güvenlik kamerası serisinde iki güvenlik açığı kümesi bulunmuştur. Bulgularını hackread.com ile paylaşan araştırma firması Bitdefender, tüm kullanıcıları derhal kamera ürün yazılımlarını güncellemeye çağırıyor.
Kritik güvenlik açıkları açıklandı
Araştırma iki spesifik ve kritik güvenlik açıklarını belirledi. Birincisi, CVE-2025-31700 etiketli, kameranın ONVIF protokolünde “yığın tabanlı bir tampon taşması” dır. Bu protokol, farklı güvenlik cihazlarının birbirleriyle iletişim kurmasını sağlayan bir standarttır.
Kusur, kamera bir ağ isteğini yanlış işlediğinde, bir saldırganın çok fazla veri göndermesine ve cihazın belleğinin önemli bölümlerinin üzerine yazmasına izin verdiğinde meydana gelir. Bu, saldırganın giriş yapılması gerekmeden kamerada kendi komutlarını çalıştırmasını sağlar.
İkinci güvenlik açığı, CVE-2025-31701, “.bss segment overflow”Kameranın dosya yükleme işleyicisine bağlı. Bu sorun birinciye benzer, ancak kameranın belleğinin farklı bir kısmını hedefler. Kamera, bir veri üstbilgisini yanlış kopyalar ve bu değişkenleri değiştirerek, bu değişkenleri değiştirerek, saldırgan programın kontrolünü iptal edebilir ve tam uzak kod yürütme elde edebilir.
Etkilenen cihazlar
Kusurlar, mağazalar, kumarhaneler, depolar ve evler gibi birçok yerde kullanılan popüler bir kamera olan Dahua Hero C1 (DH-H4C) modelini etkiler. Bitdefender, Araştırmaları başladığında en son mevcut olan V2.810.9992002.0.r Kahraman C1 Koşu Yazılımı sürümü ile ilgili sorunları doğruladı. Dahua’nın kendi denetimi, aynı sorunların IPC-1XXX, IPC-2XXX, IPC-WX ve SD serisi kameralar dahil olmak üzere diğer birkaç cihaz modelini etkilediğini de doğruladı.
Kullanıcılar için acil öneriler
Güvenlik sorunları, Bitdefender ile koordineli bir açıklama sürecinden sonra 7 Temmuz 2025’te Dahua tarafından resmen yamalandı. Araştırmacılar tarafından sağlanan bir zaman çizelgesine göre, kusurlar ilk olarak 28 Mart 2025’te Dahua’ya bildirildi. Güvenlik araştırmacıları ve şirketler arasındaki bu tür işbirliği, siber saldırılar için kullanılmadan önce sorunları çözmek için önemlidir.
Her iki güvenlik açığının tehlikeli olduğunu belirtmek gerekir, çünkü yerel bir ağ üzerinden uzaktan sömürülebilirler ve kameralar bağlantı noktası yönlendirme veya UPNP (evrensel fiş ve oynatma) gibi ayarlar aracılığıyla ortaya çıkarsa internet üzerinden bile internet üzerinden kullanılabilirler. Başarılı bir saldırı, saldırgana cihaza tam kök düzeyinde erişim sağlar ve bu da kaldırılması zor olan kötü amaçlı yazılımlar yüklemeyi mümkün kılar.
Bu nedenle, Bitdefender tüm kullanıcılara kameralarının ürün yazılımı sürümünü kontrol etmelerini tavsiye eder. 16 Nisan 2025’ten daha eski ürün yazılımı olan herhangi bir cihaz risk altındadır. Bir güncelleme mümkün değilse, kullanıcılar kameralarını korumak için adımlar atmalıdır. Bu, kameranın web arayüzünü internete maruz bırakmamayı, UPNP’yi devre dışı bırakmayı ve saldırganların diğer cihazlara taşınmasını önlemek için kamerayı ayrı bir ağda izole etmemeyi içerir.