Açılmamış Dahua kameraları iki kimlik doğrulama bypass güvenlik açıkına yatkındır ve bugün ortaya çıkan bir konseptten yararlanma kanıtı, presleme durumunu yapar.
Kimlik doğrulama bypass kusurları CVE-2021-33044 ve CVE-2021-33045 olarak izlenir ve Hedef cihaza özel hazırlanmış veri paketleri göndererek giriş işlemi sırasında her ikisi de uzaktan sömürülür.
Bunun nasıl çalıştığı hakkında daha fazla ayrıntı için, GitHub'a gönderilen günümüzün tam açıklamasının bir parçası olan Kavramın Kanıtını (POC) kontrol edebilirsiniz.
Bu, Dahua'nın güvenlik görevlilerinin güvenlik yazılımlarını geliştirmeye teşvik ettiği güvenlik danışmanından sonra bir ay sonra geliyor, ancak bu cihazların ilk kurulumlarını ne kadar ihmal ettiğini ve ne kadar ihmal edilmesini düşünerek, çoğunun hala eski ve savunmasız bir sürümü çalıştırması muhtemeldir.
Etkilenen modellerin listesi geniştir ve birçoğu Dahua kameralarını, hatta bazı termal olanları kapsar. Shodan'da aradık ve dünyada 1,2 milyondan fazla Dahua sistemini bulduk.
Bu cihazların tümünün sömürüye karşı savunmasız olmadığını açıklamak önemlidir, ancak etkilenen modellerin listesi, bazı yaygın olarak konuşlandırılmış olanları içerir.
Dahua teknolojisi, Amerika Birleşik Devletleri'nde iş ve satan ürünler yapmaktan yasaklanmıştır, çünkü Çin Surveillance kamera satıcısı ABD Ticaret Bölümü'nün 'İşletme Listesi'ne' Ekim 2019'da geri döndü.
Ancak, ülkede aktif olarak kullanılan hala on binlerce Dahua kamera var ve bazıları çok açık olmayabilir. Enterptice detaylarından yapılan son bir rapor olarak, ABD'de satılan birçok kamera (Honeywell gibi) veya Kanada markalaması, aslında Dahua Donanım ve hatta yazılım kullanarak.
Dahua kameranızı modeliniz için en son ürün yazılımı sürümüne yükseltmenin yanı sıra, eşsiz ve güçlü bir şeyle kutunun dışında olduğu şifreyi de değiştirmelisiniz. Kök Access kimlik bilgilerini "Yönetici" olarak bırakmak - "admin", video yayınlarınızın er ya da geç ortaya çıkmanın kesin bir yoludur.
Ek olarak, kamera kablosuz ise, WPA2 şifrelemesini etkinleştirin ve mümkünse iO'larınız için ayrı, izole bir ağ oluşturun.
Modeliniz bulut etkinse, Dahua İndirme Merkezini ziyaret etmek yerine, sabitleme yükseltmesini otomatik olarak kontrol arayüzünden otomatik olarak alabilirsiniz.
İki kusurun keşfi 13 Haziran 2021'de geldi, bu yüzden bazı Dahua kameraları, en az 2,5 ay boyunca en az 2,5 aylık erişemeyecek şekilde erişilmez bir erişime karşı savunmasız kaldı.
Yeni Windows Güvenlik Güncellemeleri Ağ Yazdırmayı Break
Milyonlarca iot cihazını etkileyen kritik hata, bilgisayar korsanlarının sizin için casusluğunu sağlar
Apache acil durum güncellemesi, sömürülen hata için eksik düzeltme ekini düzeltir
Yanlış yapılandırılmış Apache hava akımı sunucuları Binlerce kimlik bilgilerini sızdırmaz
Apache düzeltmeleri aktif olarak sömürülen sıfır gün güvenlik açığı, şimdi yama
Kaynak: Bleeping Computer