CVE-2019-9677

Buffer overflow w interfejsie CGI kamer IP Dahua

CVSS 9.8v3.1pub. 2019-09-18upd. 2024-11-21

Podatność typu buffer overflow w interfejsie CGI wybranych kamer IP firmy Dahua umożliwia zdalnemu, nieuwierzytelnionemu atakującemu przejęcie kontroli nad urządzeniem. Krytyczny poziom CVSS 9.8 wynika z braku konieczności uwierzytelnienia i możliwości ataku przez sieć.

▸ Pokaż oryginał (EN)

The specific fields of CGI interface of some Dahua products are not strictly verified, an attacker can cause a buffer overflow by constructing malicious packets. Affected products include: IPC-HDW1X2X,IPC-HFW1X2X,IPC-HDW2X2X,IPC-HFW2X2X,IPC-HDW4X2X,IPC-HFW4X2X,IPC-HDBW4X2X,IPC-HDW5X2X,IPC-HFW5X2X for versions which Build time is before August 18, 2019.

🤖 Analiza AI

Jak działa

Określone pola interfejsu CGI w oprogramowaniu firmware kamer Dahua nie są odpowiednio walidowane pod kątem długości i poprawności danych. Atakujący może spreparować złośliwy pakiet sieciowy zawierający dane przekraczające rozmiar przeznaczonego bufora (CWE-120 — classic buffer overflow). Przepełnienie bufora może prowadzić do nadpisania krytycznych obszarów pamięci, co otwiera drogę do wykonania dowolnego kodu na urządzeniu.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem, potencjalnie naruszając poufność, integralność i dostępność systemu. Możliwe jest zdalne wykonanie kodu (RCE) bez konieczności posiadania jakichkolwiek uprawnień.

Mitygacja

Należy zaktualizować firmware urządzeń do wersji zbudowanej w dniu 18 sierpnia 2019 lub późniejszej. Szczegółowe informacje i patche dostępne są w oficjalnym biuletynie bezpieczeństwa producenta: https://www.dahuasecurity.com/support/cybersecurity/details/637. Do czasu aktualizacji zaleca się odizolowanie urządzeń od publicznego dostępu sieciowego oraz ograniczenie dostępu do interfejsu CGI wyłącznie do zaufanych adresów IP poprzez firewall.

Kogo dotyczy

Kamery IP Dahua: IPC-HDW1X2X, IPC-HFW1X2X, IPC-HDW2X2X, IPC-HFW2X2X, IPC-HDW4X2X, IPC-HFW4X2X, IPC-HDBW4X2X, IPC-HDW5X2X, IPC-HFW5X2X — we wszystkich wersjach firmware zbudowanych przed 18 sierpnia 2019 roku.

Uwagi

Podatność dotyczy szerokiej gamy popularnych kamer IP Dahua stosowanych w systemach monitoringu wizyjnego. Urządzenia IoT/kamer IP są często eksponowane bezpośrednio na Internet, co znacząco zwiększa ryzyko wykorzystania tej podatności.