### التأثير على النظام المعرض للخطر```
Vuln Confidentiality:   [None]     Low      High
Vuln Integrity:         [None]     Low      High
Vuln Availability:      [High]     Low      None

---

## تصنيف CWE

| # | معرّف CWE | الاسم | الصلة |
|---|---|---|---|
| 1 | **CWE-617** | [تأكيد قابل للوصول](https://cwe.mitre.org/data/definitions/617.html) | يصل الإدخال غير الموثوق إلى تأكيد قاتل أو مسار إحباط (abort) في الكود ذي الامتيازات |

### CWE-617 في السياقات المصادَق عليها

غالبًا ما تُرفض الثغرات المصادَق عليها باعتبارها «من الداخل فقط». في شبكات المراقبة:

- تُشارك حسابات التكامل عبر مواقع عملاء متعددة
- تخزّن خوادم VMS كلمات مرور الأجهزة بشكل مركزي
- تستمر بيانات الاعتماد الافتراضية لسنوات على شبكات VLAN معزولة
- يحتفظ الموظفون السابقون بوصول إداري في غياب التدوير الدوري

لذلك، يظل التأكيد القابل للوصول خلف **مستوى الإدارة المصادَق عليه** **مخاطرة مادية**، خاصةً عند اقترانه بإعادة استخدام بيانات الاعتماد.

### تجاوز سعة المخزن المؤقت مقابل CWE-617

إذا كان العيب الأساسي يتضمن تلفًا في الذاكرة، فقد يعكس CWE-617 **السلوك الإنتاجي الملاحَظ** (الإحباط القاتل) بدلًا من التصنيف الكامل للضعف. يجب على المدافعين تطبيق التصحيح بغض النظر عن تسمية المؤشر.

---

## المتطلبات الأساسية للهجوم

| المتطلب الأساسي | مطلوب؟ | ملاحظات |
|---|---|---|
| **بيانات اعتماد الجهاز عالية الامتياز** | **نعم** | `PR:H` — وصول من فئة المسؤول (خاص بالمنتج) |
| تفاعل المستخدم الضحية | لا | لا حاجة لتصيد احتيالي أو أي إجراء في المتصفح |
| قابلية الوصول عبر الشبكة | نعم | منفذ الإدارة أو الخدمة المصادَق عليها قابل للوصول |
| اختراق سابق لنظام آخر | مفيد، ليس إلزاميًا | بيانات الاعتماد المسروقة من VMS تستوفي الشرط |
| التعرض للإنترنت | غير مطلوب | يزيد من جدوى الاستغلال عن بُعد |
| معرفة طراز الهدف | مفيد | قد تكون الحزمة المصنّعة خاصة بالطراز/البرنامج الثابت |

**قابل للاستغلال عن بُعد:** **نعم** (بمجرد توفر بيانات الاعتماد ومسار الشبكة)

---

## سيناريوهات الاستغلال

### السيناريو 1 — موظف ساخط من الداخل

يرسل فني بحوزته بيانات اعتماد إدارية لجميع كاميرات الموقع حزمًا مصنّعة إلى نقاط نهاية IPC خارج ساعات العمل، معيدًا تشغيل مناطق تغطية حرجة بشكل متكرر.

### السيناريو 2 — خزنة كلمات مرور VMS مسروقة

يسرّب المهاجم قاعدة بيانات كلمات مرور الكاميرات من مضيف VMS مخترق (Milestone / Genetec / مخصص). ويعيد تشغيل كل أجهزة Dahua IPC على شبكة WAN الخاصة بالعميل عن بُعد دون الحاجة إلى تصعيد امتيازات إضافي.

### السيناريو 3 — مسح بيانات الاعتماد الافتراضية

يصادق المهاجم باستخدام الإعدادات الافتراضية من المصنع (`admin` / قوائم كلمات مرور معروفة) على الكاميرات المعرّضة للإنترنت، ثم يُطلق حلقات إعادة تشغيل لمضايقة المراقبة أو إعمائها أثناء اقتحام مادي في مكان آخر بالمنشأة.

### السيناريو 4 — تخريب PTZ لكاميرات SD أثناء التتبع النشط

تتتبع كاميرا قبة فائقة السرعة (speed dome) في ملعب حدثًا أمنيًا. يؤدي إدخال مصنّع ومصادَق عليه إلى إعادة تشغيل وحدة SD، مما يُفقد التتبع النشط PTZ ومواضع الإعداد المسبق خلال نافذة زمنية حرجة.

### السيناريو 5 — ضجيج جانبي بعد الاختراق الأولي

بعد التصيد الاحتيالي لجهاز كمبيوتر محمول خاص بفني التركيب، يستخدم المهاجم بيانات الاعتماد المخزنة لتعطيل الكاميرات — مما يضعف التقاط الأدلة الجنائية بينما ينفذ فريق منفصل دخولًا ماديًا.

---

## تقييم الأثر

### الأثر الفني

| المجال | التقييم | التفاصيل |
|---|---|---|
| السرية | لا شيء (مباشر) | لم يُقيَّم في المتجه المنشور |
| السلامة | لا شيء (مباشر) | لم يُقيَّم في المتجه المنشور |
| التوفر | **عالٍ** | إعادة تشغيل غير متوقعة؛ قابلة للتكرار |

### الأثر على الأعمال (سياقي)

| القطاع | العاقبة المحتملة |
|---|---|
| التجزئة | بقع عمياء أثناء أحداث الانكماش (الخسائر) |
| النقل | فجوات في تغطية الكاميرات بالمنصات/القاعات |
| البنية التحتية الحرجة | فقدان تتبع PTZ للمحيط |
| الحرم الجامعي للشركات | انقطاع تغطية مواقف السيارات والمداخل |

### حاجز المصادقة مقابل المخاطر الواقعية

| البيئة | مستوى المخاطر العملي |
|---|---|
| بيانات اعتماد قوية وفريدة + دون تعرض لشبكة WAN | أقل — يجب على المهاجم اختراق المصادقة أولًا |
| كلمة مرور تكامل مشتركة عبر 500 كاميرا | **عالٍ** — سر واحد يمكّن من DoS جماعي |
| إعادة توجيه منافذ عبر الإنترنت مع admin افتراضي | **عالٍ** — يشبه مخاطرة عملية غير مصادَق عليها |
| شبكة LAN معزولة عن الإنترنت مع قوائم ACL صارمة | متوسط — يعتمد على اختراق داخلي أو حركة جانبية |

---

## الكشف ومؤشرات الاختراق

لا يوجد توقيع حزم عام موثق. ركّز على **إساءة استخدام الجلسات المصادَق عليها** المرتبطة بـ**أحداث إعادة التشغيل**.

### مؤشرات المضيف / الجهاز

- إعادة تشغيل غير متوقعة بعد جلسات إدارة مصادَق عليها من عناوين IP مصدر غير معتادة
- رسائل خطأ قاتل أو تأكيد في سجلات الجهاز مباشرة قبل إعادة التشغيل
- فترات تشغيل قصيرة بعد نشاط إداري على واجهة برمجة التطبيقات (API)
- فقدان وحدات SD لأعلام معايرة PTZ بعد إعادة تشغيل غير مخطط لها

### مؤشرات المصادقة

- نجاحات تسجيل دخول إدارية من مواقع جغرافية أو شبكات فرعية لا يستخدمها المشغلون
- اندفاع من استدعاءات API مصادَق عليها من حساب واحد عبر العديد من الكاميرات
- جلسات إعداد خارج ساعات العمل دون تذاكر تغيير
- استخدام حسابات تكامل قديمة كان يُعتقد أنها مُتقاعدة

### مؤشرات الشبكة

- حركة مرور على منافذ الإدارة (HTTP/S، منافذ SDK المملوكة) تسبق أحداث الانقطاع مباشرة
- أحجام حمولات متماثلة متكررة أو أنماط طلبات شاذة بعد تسجيل الدخول
- ارتباط بين عنوان IP لمخرج VPN وطوابع زمنية لإعادة تشغيل syslog الخاصة بالكاميرا

### الإجراءات الموصى بها

- تمكين **syslog** على أجهزة IPC/SD نحو SIEM مركزي
- التنبيه على **الانقطاع الجماعي** من VMS خلال فترات قصيرة
- ربط **سجلات المصادقة** بأحداث **إعادة تشغيل watchdog**
- مراجعة الحسابات ذات صلاحيات **admin**؛ وإزالة عمليات تسجيل دخول التكامل غير المستخدمة

---

## التخفيف والمعالجة

### المعالجة الأساسية — تحديث البرنامج الثابت

1. جرد جميع وحدات Dahua **IPC وSD** مع الطراز والرقم التسلسلي وتاريخ بناء البرنامج الثابت.
2. وضع علامة على الأجهزة ذات الإصدارات **التي تسبق 26 مارس 2026**.
3. الحصول على البرنامج الثابت المُصحح من [مركز Dahua PSI للثقة](https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi).
4. الترقية خلال نوافذ الصيانة؛ والتحقق من البث المباشر ومواضع PTZ المسبقة والتحليلات بعد إعادة التشغيل.
5. تأكيد تاريخ البناء في واجهة الجهاز أو عبر استعلام ONVIF/SDK بعد التصحيح.

### نظافة بيانات الاعتماد (حرجة لثغرات PR:H)

| الإجراء | المبرر |
|---|---|
| **تدوير جميع كلمات مرور admin للكاميرات** | تحييد بيانات الاعتماد المسروقة من تصديرات VMS القديمة |
| **كلمة مرور فريدة لكل جهاز** | يحد من نطاق تأثير تسريب سر واحد |
| **تعطيل الحسابات غير المستخدمة** | يزيل البوابات الخلفية الخاملة لحسابات التكامل |
| **فرض سياسة كلمات مرور قوية** | يقلل من تخمين بيانات الاعتماد الافتراضية |
| **الانتقال إلى مصادقة مركزية** حيثما كان مدعومًا | يحسّن قابلية التدقيق والإبطال |

### ضوابط الشبكة

| الضابط | الهدف |
|---|---|
| **عزل الكاميرات على شبكات VLAN مخصصة** | احتواء الحركة الجانبية |
| **تقييد منافذ الإدارة حسب عنوان IP المصدر** | فقط VMS ومضيفات القفز يمكنها المصادقة |
| **إلغاء إعادة توجيه المنافذ المباشرة عبر WAN** | فرض الوصول عبر VPN أو الثقة المعدومة (zero-trust) |
| **تعطيل الخدمات غير المستخدمة** | تقليص سطح الهجوم المصادَق عليه |
| **مراقبة وصول API الإداري** | كشف الإساءة قبل عمليات إعادة التشغيل المتكررة |

### التصحيح المنسق مع CVE-2026-29116

في بيئات IPC/SD، طبّق البرنامج الثابت الذي يعالج **كلًا من** CVE-2026-29115 و[CVE-2026-29116](https://github.com/crimsonfiedofficial/cve-2026-29115/blob/CVE-2026-29116/README.md). المشكلة غير المصادَق عليها أسوأ بشكل صارم من منظور التعرض؛ تظل المشكلات المصادَق عليها خطيرة حيثما تكون الأسرار ضعيفة.

---

## حلول بديلة

لا يوجد حل بديل موثق يعتمد على الإعدادات فقط يزيل الثغرة بالكامل دون ترقية البرنامج الثابت. حتى يتم التصحيح:

1. **قم بتدوير بيانات الاعتماد وتقويتها** — يقلل من عدد من يمكنهم استيفاء شرط `PR:H`.
2. **قيّد وصول الإدارة** إلى الشبكات الفرعية الموثوقة وVPN فقط.
3. **راقب حلقات إعادة التشغيل** واحظر المصادر المخالفة عند جدار الحماية.
4. **عطّل الإدارة عن بُعد** على الكاميرات التي تحتاج فقط اتصالًا صادرًا بالسحابة/P2P (يعتمد على البنية المعمارية).

---

## استجابة البائع

نشرت Dahua هذه المشكلة عبر برنامج **حادث أمن المنتج (PSI)** الخاص بها:

- **مركز الثقة / PSI:** https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi

راجع نشرة البائع من أجل:

- قوائم IPC/SD المتأثرة الخاصة بكل طراز
- صور البرنامج الثابت المُصحح وملاحظات الإصدار
- أي إرشادات تقوية إضافية

---

## المراجع

| المورد | الرابط |
|---|---|
| مركز Dahua PSI للثقة | https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi |
| إدخال NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-29115 |
| سجل CVE | https://www.cve.org/CVERecord?id=CVE-2026-29115 |
| ذو صلة: CVE-2026-29116 | https://www.cve.org/CVERecord?id=CVE-2026-29116 |
| تعريف CWE-617 | https://cwe.mitre.org/data/definitions/617.html |
| مواصفات CVSS 4.0 | https://www.first.org/cvss/v4.0/specification-document |

---

## إخلاء مسؤولية

هذا المستند **استشارة أمنية إعلامية** جُمعت من بيانات CVE الوصفية المتاحة للجمهور وبيانات البائع. وهو مخصص لمساعدة المدافعين ومهندسي التكامل والباحثين على فهم مخاطر **CVE-2026-29115** وتحديد أولويات المعالجة.

- لا يوفر هذا README **كود استغلال، أو قوالب حزم مصنّعة، أو وصفات هجوم**.
- التحليل الفني المستنتج ليس إفصاحًا عن السبب الجذري مؤكدًا من البائع.
- يجب **التحقق** من قابلية انطباق الطراز والبرنامج الثابت مقابل إرشادات Dahua PSI الرسمية.
- المؤلفون غير مسؤولين عن الإجراءات المتخذة بناءً على هذا المستند.

**استخدام مسؤول:** أبلغ عن النتائج الإضافية عبر الإفصاح المنسق (PSI الخاص بالبائع، أو CERT، أو برامج مكافآت الثغرات الأمنية المصرح بها).

---

## سجل مراجعة المستند

| الإصدار | التاريخ | التغييرات |
|---|---|---|
| 1.0 | 2026-07-11 | README استشاري شامل أولي استنادًا إلى بيانات نشر CVE-2026-29115 |

---

<p align="center">
  <sub>CVE-2026-29115 · Dahua Technology · CVSS 4.0 6.9 MEDIUM · CWE-617 · IPC / SD</sub>
</p>