CVE-2024-13985 — Dahua EIMS capture_handle.action Remote Code Execution

Hinweistyp: Vom Anbieter koordinierte Sicherheitsmeldung · Aktive Ausnutzung gemeldet
CVE-ID: CVE-2024-13985
CNVD-ID: CNVD-2024-17054
Anbieter: Zhejiang Dahua Technology Co., Ltd.
Produkt: EIMS (Enterprise Information Management System)
Veröffentlicht: 2025-08-27T21:23:37 UTC
Zuletzt geändert: 2026-05-15T11:14:33 UTC
Quelle: Dahua Support Bulletin

Inhaltsverzeichnis

• Zusammenfassung
• Auf einen Blick
• Beziehung zu anderen Dahua-CVEs
• Zeitleiste der Schwachstelle
• Beschreibung
• Technische Analyse
• Betroffene Produkte
• CVSS-Bewertung
• Details zur Schwachstellenbewertung
• CWE-Klassifizierung
• Angriffsvoraussetzungen
• Ausnutzungsszenarien
• Auswirkungsanalyse
• Asset-Erkennung
• Erkennung und Indikatoren einer Kompromittierung
• Minderung und Abhilfe
• Umgehungsmaßnahmen
• Reaktion des Anbieters
• Referenzen
• Haftungsausschluss
• Dokumentversionsgeschichte

Zusammenfassung

Eine kritische, nicht authentifizierte Remote-Codeausführungsschwachstelle existiert in Dahua EIMS (Enterprise Information Management System) Versionen vor 2240008. Der Fehler ist eine Befehlseinschleusung im HTTP-Endpunkt capture_handle.action, bei der der Parameter captureCommand ohne Authentifizierung, Sanitisierung oder ausreichende Eingabevalidierung an einen zugrunde liegenden Betriebssystem-Befehlsausführer übergeben wird.

Jeder entfernte Angreifer, der die EIMS-Webschnittstelle erreichen kann, kann manipulierte HTTP-Anfragen senden, die beliebige Betriebssystembefehle einschleusen. Diese Befehle werden im Serverkontext ausgeführt und ermöglichen eine vollständige Systemkompromittierung – Datendiebstahl, Persistenz, laterale Bewegung, Ransomware-Einsatz und Störung von abhängigen physischen Sicherheitsabläufen.

Die Schwachstelle erhält die maximale CVSS 4.0-Basisbewertung von 10.0 (KRITISCH) mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowohl auf dem anfälligen System als auch auf nachgelagerten Systemen (VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). Es wurden Hinweise auf Ausnutzung in freier Wildbahn beobachtet.

EIMS ist eine unternehmensorientierte Backend-Plattform, keine Feld-IPC-Kamera. Eine Kompromittierung betrifft typischerweise die zentrale Verwaltung, Zugangskontrollintegrationen und Unternehmensdaten und nicht einen einzelnen Sensor. Behandeln Sie internetexponierte oder per VLAN erreichbare EIMS-Instanzen als Notfall-Patch-Priorität.

Auf einen Blick

Beziehung zu anderen Dahua-CVEs

Dieses Repository dokumentiert auch Feldgerät-Hinweise aus Dahuas PSI-Batch 2026. CVE-2024-13985 betrifft eine separate Produktlinie mit einem wesentlich höheren Schweregradprofil.

Erkenntnis für Verteidiger: Das Patchen von Kameras behebt nicht EIMS. Inventarisieren Sie Anwendungsserver, auf denen Dahua-Unternehmenssoftware läuft, unabhängig.

Zeitleiste der Schwachstelle

Beschreibung

Dahua EIMS bietet unternehmensorientierte Informationsmanagementfähigkeiten, die in integrierten Sicherheits- und Gebäudemanagement-Installationen eingesetzt werden. Ein netzwerksichtbarer Servlet- oder Action-Handler, der unter capture_handle.action bereitgestellt wird, akzeptiert einen Parameter namens captureCommand.

Fehlermodus

Die Anwendung behandelt captureCommand als Eingabe für einen Betriebssystembefehl des Hosts (direkt oder über einen Shell-Wrapper), ohne:

• Eine authentifizierte Sitzung zu erfordern
• Zulässige Zeichensätze oder Befehlsvokabular zu validieren
• Shell-Metazeichen zu escapen
• Sichere APIs zu verwenden (z. B. parametrisierte Prozessaufrufe mit festem ausführbarem Programm und Argumentarray)

Ein nicht authentifizierter Angreifer sendet manipulierte HTTP-Anfragen, die Befehlseinschleusungs-Payloads in captureCommand enthalten. Der Server führt vom Angreifer kontrollierte Betriebssystembefehle mit den Berechtigungen des EIMS-Anwendungsprozesses aus – typischerweise ein privilegiertes Dienstkonto auf Windows- oder Linux-Hosts.

Konsequenzen

Eine erfolgreiche Ausnutzung führt zu:

Technische Analyse

Endpunkt und Parameter

Das Suffix .action ist charakteristisch für Apache Struts2 oder Struts-ähnliche Java-MVC-Frameworks, die häufig in Unternehmens-Java-Webanwendungen verwendet werden. Obwohl das Anbieterbulletin Befehlseinschleusung beschreibt, anstatt das Framework zu nennen, sollten Verteidiger EIMS-Installationen auf Java-Webcontainer (Tomcat usw.) und Reverse-Proxys überprüfen, die an diesen Endpunkt weiterleiten.

CWE-78 — Mechanik der OS-Befehlseinschleusung

CWE-78 tritt auf, wenn Anwendungscode nicht vertrauenswürdige Eingaben mit Befehlen verkettet, die von /bin/sh, cmd.exe oder einem Äquivalent interpretiert werden:```

Conceptual vulnerable pattern (pseudocode — not vendor source)

Runtime.exec("capture-tool " + captureCommand);

or

ProcessBuilder("sh", "-c", "capture-tool " + captureCommand);

Shell-Metazeichen (`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, Zeilenumbrüche) ermöglichen **Befehlsbeendigung** und **beliebige sekundäre Befehle**.

### Warum CVSS 10.0 gerechtfertigt ist

Jede CVSS 4.0-Auswirkungsmetrik im veröffentlichten Vektor ist **Hoch**, einschließlich der Auswirkungen auf **nachfolgende Systeme**:

| Eigenschaft | Wert | Bedeutung |
|---|---|---|
| `AV:N` | Netzwerk | WAN-Ausnutzung möglich |
| `AC:L` | Niedrige Komplexität | Ein einziger präparierter HTTP-Request |
| `AT:N` | Keine speziellen Angriffsvoraussetzungen | Standardbereitstellung ausnutzbar |
| `PR:N` | Keine Berechtigungen | Kein Konto erforderlich |
| `UI:N` | Keine Benutzerinteraktion | Vollautomatische Ausnutzung |
| `VC/VI/VA:H` | Vollständige CIA auf dem EIMS-Host | Vollständige Kompromittierung |
| `SC/SI/SA:H` | Nachfolgende Systeme Hoch | EIMS ist ein zentraler Integrationsknotenpunkt |

Dies ist einer der schwerwiegendsten veröffentlichten Scores, die unter CVSS 4.0 möglich sind.

### EIMS-Architekturkontext (Betrieb)

EIMS sitzt typischerweise **zentral** in der Sicherheitsarchitektur:```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

Compromise at the EIMS layer ist architektonisch schlimmer als die Kompromittierung eines einzelnen IPC — es ist eine Kontrollebenen-Verletzung.

Öffentliches Ausnutzungs-Ökosystem

Mehrere öffentliche Quellen verweisen auf diesen Fehler (siehe Referenzen):

• Herstellerbulletin auf support.dahuatech.com
• CNVD- und NVD-Einträge
• Community-Berichte (cn-sec.com, CSDN)
• Scanner-Vorlagen (Nuclei, Pentest-Tools, VulnCheck, S4E)

Das Vorhandensein von Scanner-Signaturen und In-the-Wild-Exploitation bedeutet, dass eine opportunistische Massenausnutzung eine unmittelbare realistische Bedrohung darstellt, kein theoretisches Forschungsinteresse.

Betroffene Produkte

Herstellerübersicht

Gesamt: 1 betroffener Hersteller · 1 betroffenes Produkt (EIMS)

Behobene Version

Versionsidentifikation

Betreiber sollten Folgendes erfassen:

1. EIMS Build- oder Paketversion aus der Admin-Oberfläche oder dem Installationsmanifest
2. Installierten Patch-Level aus den Berechtigungen des Dahua-Supportportals
3. Host-Betriebssystem und Bereitstellungstopologie (Standalone vs. geclustert)

Wenn die Versionsermittlung nicht verfügbar ist, gehen Sie von verwundbar aus, bis der Patch bestätigt ist.

Was EIMS nicht ist

CVSS-Bewertung

Zusammenfassung

CVSS 4.0 Metrikaufschlüsselung

Interpretation des maximalen Schweregrads

Ein 10.0 unter CVSS 4.0 zeigt an, dass keine kompensierende Metrik die Dringlichkeit verringert. Patchen, Isolieren oder Entfernen aus unsicheren Netzwerken sollte als P0 / Notfall behandelt werden.

Details zur Schwachstellenbewertung

Visuelle Zusammenfassung der veröffentlichten CVSS 4.0-Selektorpositionen:

Exploit-Eigenschaften```

Attack Vector: [Network] Adjacent Local Physical Attack Complexity: [Low] High Attack Requirements: [None] Present Privileges Required: [None] Low High User Interaction: [None] Passive Active

### Auswirkung auf das verwundbare System```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

Nachfolgende Systemauswirkungen```

Subseq Confidentiality: None Low [High] Subseq Integrity: None Low [High] Subseq Availability: None Low [High]

---

## CWE-Klassifizierung

| # | CWE-ID | Name | Relevanz |
|---|---|---|---|
| 1 | **CWE-78** | [Unzureichende Neutralisierung spezieller Elemente, die in einem OS-Befehl verwendet werden ('OS-Befehlseinschleusung')](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand` wird ohne Neutralisierung an die OS-Befehlsausführung übergeben |

### Verwandte Schwachstellen (kontextabhängig)

| CWE | Name | Beziehung |
|---|---|---|
| CWE-77 | Befehlseinschleusung (allgemein) | Übergeordnete Kategorie |
| CWE-306 | Fehlende Authentifizierung für kritische Funktion | Nicht authentifizierte Erreichbarkeit des gefährlichen Handlers |
| CWE-20 | Unzureichende Eingabevalidierung | Grundlegender Validierungsfehler |
| CWE-434 | Uneingeschränkter Upload | Mögliche Folgeaktivität nach der Ausnutzung, nicht Kern der CVE |

---

## Angriffsvoraussetzungen

| Voraussetzung | Erforderlich? | Anmerkungen |
|---|---|---|
| Gültige EIMS-Anmeldeinformationen | **Nein** | Nicht authentifiziert |
| Benutzerinteraktion des Opfers | **Nein** | Eine einzige HTTP-Anfrage ausreichend |
| Vorherige Kompromittierung | **Nein** | Eigenständige Ausnutzung |
| Netzwerkerreichbarkeit zu EIMS HTTP(S) | **Ja** | `capture_handle.action` erreichbar |
| Anfällige Version (`< 2240008`) | **Ja** | Gepatchte Versionen nicht betroffen |
| Internetzugänglichkeit | **Nicht erforderlich** | LAN/WAN/VPN erreichbare Instanzen gleichermaßen gefährdet |

**Remote ausnutzbar:** **Ja**

---

## Ausnutzungsszenarien

### Szenario 1 — Internet-Exposed EIMS (Shodan / ZoomEye)

Angreifer listen `app="Dahua EIMS"`-Hosts auf Internet-Suchmaschinen auf, führen eine Befehlseinschleusung in `capture_handle.action` durch, setzen eine Webshell oder Reverse-Shell ein und extrahieren Datenbanken der Unternehmenssicherheit.

### Szenario 2 — Ransomware Operator Mass Campaign

Automatisierte Scanner identifizieren anfällige Instanzen. Angreifer verschlüsseln den EIMS-Host und verbundene Dateifreigaben, fordern Lösegeld, während die physische Zugangskontrolle und Besucherverwaltungsintegrationen offline sind.

### Szenario 3 — Lateral Movement from Perimeter Breach

Ein Angreifer kompromittiert einen DMZ-Webserver, wechselt zu einer intern erreichbaren EIMS-Instanz in einem gemeinsamen Management-VLAN und verwendet auf dem Host gespeicherte EIMS-Anmeldeinformationen/API-Schlüssel, um mit nachgelagerten Türcontrollern und Kameras zu interagieren.

### Szenario 4 — Insider-Less Espionage

Staatliche oder kriminelle Akteure extrahieren stillschweigend Personalzugangsprotokolle, Besucherdatensätze und Gebäudepläne, ohne Dienste neu zu starten – sie halten eine langfristige Persistenz über cron/systemd-Hintertüren aufrecht.

### Szenario 5 — Supply Chain / Integrator MSP

Ein Managed Service Provider hostet eine EIMS-Instanz für Dutzende von Kunden. Eine einzige Kompromittierung betrifft **alle Mandanten** auf diesem Server – ein konzentrierter katastrophaler Ausfall.

---

## Auswirkungsbewertung

### Technische Auswirkungen

| Bereich | Bewertung | Detail |
|---|---|---|
| Vertraulichkeit | **Hoch** | Typischerweise voller Lesezugriff auf Dateisystem und Datenbank |
| Integrität | **Hoch** | Beliebige Dateischreibvorgänge, Konfigurationsmanipulation, Hintertüren |
| Verfügbarkeit | **Hoch** | Prozesse beenden, Daten löschen, Ransomware |
| Nachgelagerte Systeme | **Hoch** | Integrationsanmeldeinformationen ermöglichen Missbrauch nachgelagerter Systeme |

### Geschäftliche Auswirkungen

| Sektor | Konsequenz |
|---|---|
| **Unternehmenscampus** | Umgehung der Zugangskontrolle, Datenleck von Besucherdaten |
| **Regierung / kritische Infrastruktur** | Kontrollebenenverletzung in der physischen Sicherheit |
| **Gesundheitswesen** | HIPAA-relevante Offenlegung von Zugriffsprotokollen |
| **Bildung** | Manipulation des Sicherheitssystems für Studenten/Mitarbeiter |
| **Integratoren / MSPs** | Mehrkundenverletzung von einem Host aus |

### Regulatorische und rechtliche Risiken

EIMS-Kompromittierung kann Folgendes auslösen:

- Meldepflichten bei Datenschutzverletzungen (DSGVO, staatliche Datenschutzgesetze usw.)
- Meldung kritischer Infrastrukturen in regulierten Sektoren
- Vertragliche SLA-Strafen mit Kunden der physischen Sicherheit

---

## Asset-Erkennung

### ZoomEye-Abfrage

| Plattform | Abfrage | Link |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [Auf ZoomEye suchen](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### Defensives Inventar (nur autorisiert)

| Methode | Aktion |
|---|---|
| **CMDB / Lizenzaufzeichnungen** | Alle EIMS-Installationen und -Versionen auflisten |
| **VM-Inventar** | Nach Dahua-EIMS-Paketen auf Anwendungsservern suchen |
| **Reverse-Proxy-Konfigurationen** | Upstreams identifizieren, die zu `capture_handle.action` routen |
| **Schwachstellenscanner** | Herstellergeprüfte Prüfungen mit veröffentlichten Signaturen durchführen |
| **Internet-Angriffsfläche** | ZoomEye-Ergebnisse mit eigenen öffentlichen IPs vergleichen |

> Scannen Sie nur Assets, die Ihnen gehören oder für die Sie ausdrücklich zur Prüfung autorisiert sind.

---

## Erkennung und Indikatoren einer Kompromittierung

### Netzwerk-Indikatoren

- HTTP `GET`/`POST` an **`/capture_handle.action`** oder Pfad-Suffix-Übereinstimmung
- Anfragen mit **`captureCommand=`** und Shell-Metazeichen oder codierten Äquivalenten (`%3B`, `%7C`, `%26`, `%24`, `` %60 ``, `%0A`)
- Anstieg der **4xx/5xx**-Antworten, gefolgt von **neuen ausgehenden Verbindungen** vom EIMS-Host
- Unerwartete **DNS-Abfragen** oder **Beaconing** vom Anwendungsserver nach anomalem HTTP

### Host-Indikatoren

- Neue **Cron-Jobs**, **geplante Aufgaben** oder **systemd-Units** auf dem EIMS-Server
- Unerwartete **Webshells** in Tomcat/webapp-Verzeichnissen
- **Neue lokale Benutzer** oder Änderungen an **SSH authorized_keys**
- **java**- oder **tomcat**-Prozess, der `/bin/sh`, `cmd.exe`, `powershell`, `bash` startet
- Antiviren-/EDR-Warnungen auf dem EIMS-Host, korreliert mit Webzugriffsprotokollen

### Protokollmuster der Anwendung

- Zugriff auf `capture_handle.action` von **unbekannten Quell-IPs**
- **Hochfrequente** identische Anfragen (Scanner-Verhalten)
- Fehler in Befehls-Wrapper-Dienstprogrammen unmittelbar nach verdächtigen `captureCommand`-Werten

### Threat-Intelligence-Feeds

Überwachen auf:

- CNVD-2024-17054 / CVE-2024-13985 Signaturen
- Nuclei-Template-Übereinstimmungen (öffentliche Templates vorhanden – verwenden für **autorisierte** Scans)
- SIEM-Regeln, die Dahua-EIMS-Ausnutzungsversuche kennzeichnen

### Empfohlene Notfallabfragen (SIEM)```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)

Eindämmung und Behebung

Primäre Behebung — Upgrade auf 2240008+

1. Inventarisieren Sie alle EIMS-Bereitstellungen und erfassen Sie Versionen.
2. Upgraden Sie sofort auf Version 2240008 oder höher über das Dahua Support Bulletin.
3. Überprüfen Sie den Patcherfolg über den Versionsstring und das Fehlen ausnutzbarer Verhaltensweisen in autorisierten Regressionstests.
4. Rotieren Sie alle Anmeldeinformationen, die auf dem EIMS-Host gespeichert oder von diesem erreichbar sind (DB, API-Schlüssel, Dienstkonten, Integrationspasswörter).

Notfall-Eindämmung (falls Patchen verzögert wird)

Wiederherstellung nach Kompromittierung

Bei Verdacht auf Ausnutzung:

1. Isolieren Sie den Host vom Netzwerk
2. Forensische Images sichern vor dem Wiederaufbau
3. Wiederaufbau von bekannten, sicheren Medien (nicht nur Bereinigung vor Ort)
4. Rotieren Sie alle unternehmensweit verfügbaren Geheimnisse, die von EIMS aus zugänglich waren
5. Überprüfen Sie nachgelagerte Gerätekonfigurationen auf unbefugte Änderungen
6. Melden Sie gemäß den organisatorischen IR- und regulatorischen Anforderungen

Sichere Bereitstellungshärtung (langfristig)

Workarounds

Es gibt keinen herstellerseitig genehmigten dauerhaften Workaround, der ein Upgrade auf 2240008+ ersetzt.

Vorübergehende Maßnahmen:

1. Blockieren Sie externen Zugriff auf capture_handle.action am Reverse-Proxy/WAF.
2. Trennen Sie EIMS von nicht vertrauenswürdigen Netzwerken (Air-Gap), bis es gepatcht ist.
3. Deaktivieren Sie die EIMS-Webebene, falls die Geschäftskontinuität die vorübergehende Nutzung alternativer Verwaltungspfade erlaubt.

Dies sind **Übergangs-**Kontrollen; der anfällige Code bleibt durch jeden ausnutzbar, der den Endpunkt erreichen kann.

Reaktion des Anbieters

Dahua hat ein Sicherheitsbulletin über sein Support-Portal veröffentlicht:

• Bulletin: https://support.dahuatech.com/bulletin/info?IsDpValue=APKncD%2FB

Besorgen Sie behobene Installateure, Versionshinweise und etwaige vorübergehende Anleitungen aus diesem Bulletin oder von autorisierten Dahua-Supportkanälen.

Referenzen

Haftungsausschluss

Dieses Dokument ist ein informatives Sicherheitsbulletin, das aus öffentlich verfügbaren CVE-Metadaten, Anbieterbulletins und Branchenberichten zusammengestellt wurde.

Es soll Verteidigern helfen, die Behebung von CVE-2024-13985 zu verstehen und zu priorisieren.

• Diese README enthält keine einsatzbereiten Exploit-Codes, Copy-Paste-Injection-Payloads oder Schritt-für-Schritt-Kompromittierungsanleitungen.
• Die technische Analyse des Framework-Verhaltens wird abgeleitet, wenn keine Anbieterquelle verfügbar ist.
• Asset-Suchlinks dienen der autorisierten Inventarisierung Ihrer eigenen Angriffsfläche.
• Wenden Sie Patches und Eindämmungsmaßnahmen gemäß den Change- und Incident-Response-Verfahren Ihrer Organisation an.
• Die Autoren haften nicht für Handlungen, die auf der Grundlage dieses Dokuments vorgenommen werden.

Verantwortungsvolle Nutzung: Testen Sie nur Systeme, die Sie besitzen oder zu deren Bewertung Sie autorisiert sind. Melden Sie aktive Ausnutzung nach Bedarf an nationale CERTs und den Dahua-Support.

Dokumentversionshistorie

_{CVE-2024-13985 · Dahua EIMS · CVSS 4.0 10.0 CRITICAL · CWE-78 · capture_handle.action}