-
06/07/2013
-
797
-
1.308 bài viết
Cảnh báo lỗ hổng truy cập từ xa bỏ qua xác thực trong camera Dahua
Một PoC (proof of concept) được đăng gần đây cho thấy một số dòng camera Dahua chưa được vá có thể tồn tại hai lỗ hổng bỏ qua xác thực khiến cho việc nâng cấp trở nên bức thiết.
Các lỗ hổng bỏ qua xác thực được gán mã CVE-2021-33044 và CVE-2021-33045, cả hai đều có thể khai thác từ xa trong quá trình đăng nhập bằng cách gửi các gói tin độc hại tới thiết bị mục tiêu.
Để biết thêm chi tiết về cách hoạt động, bạn có thể xem PoC (proof of concept) đã được đăng trên GitHub vào hôm nay.
Sự việc diễn ra một tháng sau khi hãng đưa ra khuyến nghị bảo mật, kêu gọi chủ sở hữu của các mẫu camera dễ bị tấn công nâng cấp firmware thiết bị. Tuy nhiên các thiết bị này sau khi cài đặt và thiết lập lần đầu thường không được quan tâm cập nhật, nên có khả năng nhiều thiết bị vẫn đang chạy phiên bản cũ và dễ bị tấn công.
Danh sách các thiết bị ảnh hưởng rất rộng và bao gồm nhiều dòng camera, thậm chí một số dòng camera nhiệt. Theo kết quả tìm kiếm trên Shodan có hơn 1,2 triệu thiết bị của hãng trên khắp thế giới, đứng đầu bảng là Việt Nam.
Dahua bị cấm tại Hoa Kỳ
Dahua Technology bị cấm kinh doanh và bán sản phẩm tại Hoa Kỳ do nhà cung cấp camera giám sát Trung Quốc này đã được thêm vào "Entity List" của Bộ Thương mại Hoa Kỳ vào tháng 10 năm 2019.
Tuy nhiên, vẫn có hàng chục nghìn camera của hãng được sử dụng tại đây. Trong một báo cáo gần đây của The Intercept, nhiều camera được bán ở Mỹ dưới nhãn hiệu của Mỹ (như Honeywell) hoặc Canada, trên thực tế các thiết bị này đang sử dụng phần cứng và thậm chí cả phần mềm của Dahua.
Cách bảo vệ thiết bị của bạn
Ngoài việc nâng cấp camera lên phiên bản firmware mới nhất có sẵn, người dùng cũng nên thay đổi mật khẩu đi kèm với camera bằng một mật khẩu mạnh, khó đoán.
Ngoài ra, nếu là camera không dây hãy thiết lập một mạng riêng biệt, biệt lập cho các thiết bị IoT nếu có thể.
Lưu ý rằng tùy dòng camera được hỗ trợ, người dùng có thể tìm bản nâng cấp sửa lỗi tự động từ giao diện điều khiển, thay vì truy cập trung tâm tải xuống của Dahua.
Các lỗ hổng bỏ qua xác thực được gán mã CVE-2021-33044 và CVE-2021-33045, cả hai đều có thể khai thác từ xa trong quá trình đăng nhập bằng cách gửi các gói tin độc hại tới thiết bị mục tiêu.
Để biết thêm chi tiết về cách hoạt động, bạn có thể xem PoC (proof of concept) đã được đăng trên GitHub vào hôm nay.
Sự việc diễn ra một tháng sau khi hãng đưa ra khuyến nghị bảo mật, kêu gọi chủ sở hữu của các mẫu camera dễ bị tấn công nâng cấp firmware thiết bị. Tuy nhiên các thiết bị này sau khi cài đặt và thiết lập lần đầu thường không được quan tâm cập nhật, nên có khả năng nhiều thiết bị vẫn đang chạy phiên bản cũ và dễ bị tấn công.
Danh sách các thiết bị ảnh hưởng rất rộng và bao gồm nhiều dòng camera, thậm chí một số dòng camera nhiệt. Theo kết quả tìm kiếm trên Shodan có hơn 1,2 triệu thiết bị của hãng trên khắp thế giới, đứng đầu bảng là Việt Nam.
Dahua bị cấm tại Hoa Kỳ
Dahua Technology bị cấm kinh doanh và bán sản phẩm tại Hoa Kỳ do nhà cung cấp camera giám sát Trung Quốc này đã được thêm vào "Entity List" của Bộ Thương mại Hoa Kỳ vào tháng 10 năm 2019.
Tuy nhiên, vẫn có hàng chục nghìn camera của hãng được sử dụng tại đây. Trong một báo cáo gần đây của The Intercept, nhiều camera được bán ở Mỹ dưới nhãn hiệu của Mỹ (như Honeywell) hoặc Canada, trên thực tế các thiết bị này đang sử dụng phần cứng và thậm chí cả phần mềm của Dahua.
Cách bảo vệ thiết bị của bạn
Ngoài việc nâng cấp camera lên phiên bản firmware mới nhất có sẵn, người dùng cũng nên thay đổi mật khẩu đi kèm với camera bằng một mật khẩu mạnh, khó đoán.
Ngoài ra, nếu là camera không dây hãy thiết lập một mạng riêng biệt, biệt lập cho các thiết bị IoT nếu có thể.
Lưu ý rằng tùy dòng camera được hỗ trợ, người dùng có thể tìm bản nâng cấp sửa lỗi tự động từ giao diện điều khiển, thay vì truy cập trung tâm tải xuống của Dahua.
Nguồn: BleepingComputer
Chỉnh sửa lần cuối bởi người điều hành: