CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2021-33044

Pominięcie uwierzytelnienia w urządzeniach Dahua podczas logowania

CVSS 9.8v3.1pub. 2021-09-15upd. 2026-01-13

W wybranych produktach firmy Dahua Security wykryto podatność umożliwiającą ominięcie uwierzytelnienia tożsamości urządzenia podczas procesu logowania. Podatność jest aktywnie wykorzystywana przez atakujących i uzyskała ocenę krytyczną CVSS 9.8.

▸ Pokaż oryginał (EN)

The identity authentication bypass vulnerability found in some Dahua products during the login process. Attackers can bypass device identity authentication by constructing malicious data packets.

🤖 Analiza AI

Jak działa

Atakujący może skonstruować złośliwe pakiety danych przesyłane w trakcie procesu logowania, które powodują ominięcie mechanizmu weryfikacji tożsamości urządzenia. Podatność jest możliwa do wykorzystania zdalnie, bez wcześniejszego uwierzytelnienia i bez interakcji użytkownika. Klasyfikacja CWE-287 wskazuje na nieprawidłową implementację mechanizmu uwierzytelnienia.

Skutki

Atakujący bez żadnych uprawnień może uzyskać nieautoryzowany dostęp do urządzenia, co w praktyce oznacza pełne przejęcie kontroli nad kamerą lub innym urządzeniem sieciowym Dahua — z potencjalnymi konsekwencjami w zakresie poufności, integralności i dostępności systemu.

Mitygacja

Należy niezwłocznie zastosować patche dostępne u producenta zgodnie z oficjalnym biuletynem bezpieczeństwa Dahua Security (https://www.dahuasecurity.com/support/cybersecurity/details/957). Rekomenduje się również odizolowanie urządzeń od publicznego internetu oraz ograniczenie dostępu do nich wyłącznie do zaufanych sieci.

Kogo dotyczy

Oprogramowanie firmware urządzeń Dahua Security z rodzin: IPC-HUM7xxx, IPC-HX3xxx, IPC-HX5xxx oraz powiązane modele wskazane w referencjach producenta (https://www.dahuasecurity.com/support/cybersecurity/details/957)

Uwagi

Podatność jest wpisana na listę CISA KEV (Known Exploited Vulnerabilities), co potwierdza jej aktywne wykorzystywanie w środowiskach produkcyjnych. Publiczny exploit dostępny jest m.in. w serwisie Packet Storm Security oraz na liście Full Disclosure.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Dahuasecurity Ipc Hum7xxx
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Ipc Hum7xxx Firmware
OS
Dahuasecurity
< 2.820.0000000.5.r.210705
Dahuasecurity Ipc Hx3xxx
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Ipc Hx3xxx Firmware
OS
Dahuasecurity
< 2.800.0000000.29.r.210630
Dahuasecurity Ipc Hx5xxx
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Ipc Hx5xxx Firmware
OS
Dahuasecurity
< 2.820.0000000.18.r.210705
Dahuasecurity Sd1a1
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd1a1 Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Sd22
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd22 Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Sd49
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd49 Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Sd50
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd50 Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Sd52c
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd52c Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Sd6al
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Sd6al Firmware
OS
Dahuasecurity
< 2.812.0000007.0.r.210706
Dahuasecurity Tpc Bf1241
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Bf1241 Firmware
OS
Dahuasecurity
< 2.630.0000000.6.r.210707
Dahuasecurity Tpc Bf2221
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Bf2221 Firmware
OS
Dahuasecurity
< 2.630.0000000.10.r.210707
Dahuasecurity Tpc Bf5x01
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Bf5x01 Firmware
OS
Dahuasecurity
< 2.630.0000000.12.r.210707
Dahuasecurity Tpc Bf5x21
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Bf5x21 Firmware
OS
Dahuasecurity
< 2.630.0000000.8.r.210630
Dahuasecurity Tpc Pt8x21b
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Pt8x21b Firmware
OS
Dahuasecurity
< 2.630.0000000.10.r.210701
Dahuasecurity Tpc Sd2221
HW
Dahuasecurity
wszystkie wersje
Dahuasecurity Tpc Sd2221 Firmware
OS
Dahuasecurity
≤ 2.630.0000000.7.r.210707

CISA KEV — szczegółyi

Dostawcai: Dahua
Produkti: IP Camera Firmware
Data dodania do KEVi: 21 sierpnia 2024
Termin remediation (USA)i: 11 września 2024(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami dostawcy lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

Kamery IP Dahua i produkty pokrewne zawierają lukę umożliwiającą ominięcie uwierzytelniania, gdy klient określi typ argumentu NetKeyboard podczas uwierzytelniania.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Dahua IP cameras and related products contain an authentication bypass vulnerability when the NetKeyboard type argument is specified by the client during authentication.

🔴