Dahua kameralarında kritik kusurlar

Bitdefender, bir kusurun, ürün yazılımının OnVIF protokol mesajlarını nasıl işlediğinde bulunduğunu söyledi. Protokol bir zamanlar “Açık Ağ Video Arabirimi Forumu” nu durdurdu ve yazılım ve kameralar gibi ağa bağlı güvenlik ürünleri arasında komutlar iletme için bir endüstri standardıdır. Diğer kusur belgesiz bir dosya yükleme uç noktasıdır.

Bitdefender, “Başarılı sömürü, kullanıcı etkileşimi olmadan kameraya kök düzeyinde erişim sağlar.” Dedi. “İstismar yolu, ürün yazılımı bütünlüğü kontrollerini atladığından, saldırganlar imzasız yükleri yükleyebilir veya özel daemons aracılığıyla devam ederek temizlemeyi zorlaştırabilir.”

Dahua Technoloy 7 Temmuz’da yamalar yayınladı ve 23 Temmuz’da yayınladı ve danışmanlık yaptı. Dahua Hero C1 akıllı kamera küçük işletme sahipleri tarafından tasarlandı. Kısmen Çin hükümetine ait şirket, 2024 yılında yaklaşık 4,5 milyar dolar gelir bildirdi, ancak bir dizi ABD kara listesinde.

CVE-2025-31700 olarak izlenen ilk güvenlik açığı, hatalı biçimlendirilmiş bir HTTP başlığı tarafından tetiklenen yığın tabanlı bir tampon taşmasıdır. Bitdefender’a göre, bir saldırgan yığın için keyfi sayıda bayt yazabilir, “yük, bir ] Karakter veya boş bayt. “Bu, CPU kayıtlarının, işleme sırasında veri ve talimatları tutan işlemcilerin ve yürütme yeniden yönlendirmelerinin tam bir üzerine yazılmasına izin verir. Bitdefender’ın kavram kanıtı, bu kusuru yürütülebilir ve bağlantılı bir format yükü ve” 4444 bağlantı noktasında bir bağ kabuğu, LD_PRELOAD, bypasing ikili işaret kontrolleri kullanılarak kullanır. “

İkinci kusur olan CVE – 2025-31701, belgelenmemiş bir uç nokta için kameranın işleyicisinde bulunur. Bir saldırganın taşmasına izin verir .bss Session başlatma protokolü mesajlarında görünen komut sırası başlık alanını kullanarak bölüm arabelleği. Kamera, dizeleri kopyalayan bir C programlama dili işlevinin kusurlu uygulaması nedeniyle başlığı doğrudan arabelleğe kopyalar.

Ticaret Bakanlığı, 2019 yılında Dahua’yı, izin isteyen şirketler için bir inkar varsayımı olan şirketler listesine yabancı şirketlere teknoloji satan şirketler listesine ekledi. Federal hükümet, Dahua’nın Pekin tarafından ağırlıklı olarak Müslüman Uygur ve Kazak etnik kökenlerinin üyelerine karşı sürdürülen baskı kampanyasındaki rolünü belirtti.

Kasım 2022’de Federal İletişim Komisyonu, Dahua ekipmanlarının gelecekteki yetkilerini yasakladı.

Kanada, İngiliz ve Avustralya hükümetleri de Çin gözetim cihazı üreticilerine kendi ülkelerinde baskı yaptı.

Dahua kusurlara yabancı değil – onvif mesajlarını ele almasına dayanarak kusurlara bile değil. 2022’de Nozomi Networks, bazı Dahua kameralarının spesifikasyonun giriş bilgileri işlenmesini nasıl uyguladığından kaynaklanan CVE-2022-30563 olarak izlenen bir kusur belirledi. Ağustos 2024’teki ABD Siber Güvenlik ve Altyapı Ajansı, 2021’de bilinen sömürülen güvenlik açıkları listesine ilk olarak tanımlanan iki Dahua güvenlik açığı ekledi.

Bitdefender, kullanıcılara “savunmasız modellerin Dahua kamera web arayüzünü internete maruz bırakmaktan kaçının” ve evrensel fiş ve oynatma ağı ve bağlantı noktası yönlendirmeyi devre dışı bırakmak. Diğer cihazları keşfetmek için yerel bir ağda çok noktaya yayın mesajları gönderen UPNP’li cihazlar “özellikle risk altındadır.” Siber güvenlik firması ayrıca kameranın kendi sanal yerel alan ağında izole edilmesini tavsiye etti.