crimsonfiedofficial/cve-2024-13985Aviso técnico y prueba de concepto para CVE-2024-13985, una vulnerabilidad crítica de ejecución remota de código sin autenticación en Dahua EIMS mediante inyección de comandos en el endpoint capture_handle.action.
capture_handle.action
Tipo de aviso: Divulgación de seguridad coordinada con el proveedor · Explotación activa reportada
ID CVE: CVE-2024-13985
ID CNVD: CNVD-2024-17054
Proveedor: Zhejiang Dahua Technology Co., Ltd.
Producto: EIMS (Enterprise Information Management System)
Publicado: 2025-08-27T21:23:37 UTC
Última modificación: 2026-05-15T11:14:33 UTC
Fuente: Boletín de soporte de Dahua
Existe una vulnerabilidad crítica de ejecución remota de código no autenticada en Dahua EIMS (Enterprise Information Management System) en versiones anteriores a 2240008. La falla consiste en una inyección de comandos en el endpoint HTTP capture_handle.action, donde el parámetro captureCommand se pasa a un ejecutor de comandos del sistema operativo subyacente sin autenticación, saneamiento ni validación de entrada adecuada.
Cualquier atacante remoto que pueda alcanzar la interfaz web de EIMS puede enviar solicitudes HTTP manipuladas que inyectan comandos arbitrarios del sistema operativo. Dichos comandos se ejecutan en el contexto del servidor, lo que permite comprometer completamente el sistema: robo de datos, persistencia, movimiento lateral, despliegue de ransomware e interrupción de los flujos de trabajo de seguridad física dependientes.
La vulnerabilidad recibe la puntuación base CVSS 4.0 máxima de 10.0 (CRÍTICA) con impacto Alto sobre la confidencialidad, integridad y disponibilidad tanto en el sistema vulnerable como en los sistemas subsiguientes (VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). Se ha observado evidencia de explotación en el entorno real.
EIMS es una plataforma back-end empresarial, no una cámara IPC de campo. El compromiso suele afectar a la gestión central, las integraciones de control de acceso y los datos organizativos, más que a un único sensor. Trate las instancias de EIMS expuestas a Internet o alcanzables por VLAN como prioridad de parcheo de emergencia.
| Campo | Valor |
|---|---|
| ID CVE | CVE-2024-13985 |
| ID CNVD | CNVD-2024-17054 |
| Proveedor | Zhejiang Dahua Technology Co., Ltd. |
| Producto | EIMS (Enterprise Information Management System) |
| Tipo de vulnerabilidad | Inyección de comandos del SO → Ejecución remota de código |
| Endpoint vulnerable | capture_handle.action |
| Parámetro vulnerable | captureCommand |
| Vector de ataque | Red |
| Autenticación requerida | No |
| Interacción del usuario requerida | No |
| Privilegios requeridos | Ninguno |
| Versión de CVSS | 4.0 |
| Puntuación base CVSS | 10.0 — CRÍTICA |
| Vector CVSS | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
| CWE | CWE-78 (Inyección de comandos del SO) |
| Explotable de forma remota | Sí |
| Versiones afectadas | Todas las versiones < 2240008 |
| Versión corregida | 2240008 y posteriores |
| Fecha de publicación | 2025-08-27 |
| Última modificación | 2026-05-15 |
| Explotación en el entorno real | Sí (reportada) |
Este repositorio también documenta avisos de dispositivos de campo del lote PSI 2026 de Dahua. CVE-2024-13985 es una línea de producto separada con un perfil de gravedad mucho más alto.
| Atributo | CVE-2024-13985 (este aviso) | CVE-2026-29116 | CVE-2026-29115 | CVE-2026-29114 |
|---|---|---|---|---|
| Producto | Servidor EIMS | IPC/NVR/etc. | IPC/SD | IPC |
| CVSS 4.0 | 10.0 CRÍTICA | 8.7 ALTA | 6.9 MEDIA | 2.3 BAJA |
| Autenticación | Ninguna | Ninguna | Privilegios altos | Ninguna |
| Impacto principal | RCE completa | DoS (reinicio) | DoS (reinicio) | Exposición de certificados CA |
| CWE | CWE-78 | CWE-617 | CWE-617 | CWE-538 |
| En el entorno real | Sí | No indicado | No indicado | No indicado |
Conclusión para defensores: Parchear cámaras no remedia EIMS. Inventaríe de forma independiente los servidores de aplicaciones que ejecutan software empresarial de Dahua.
| Fecha | Evento |
|---|---|
| ≤ 2024 | Versiones vulnerables de EIMS desplegadas en entornos empresariales |
| 2024 | Vulnerabilidad descubierta / reportada (año CVE 2024) |
| 2024 | Se asigna CNVD-2024-17054 (Base de Datos Nacional de Vulnerabilidades de China) |
| 2025-08-27T21:23:37 UTC | CVE-2024-13985 publicado en NVD/CVE.org |
| 2025–2026 | Circulan escáneres públicos, discusiones de PoC y plantillas nuclei |
| Post-publicación | Se observa evidencia de explotación en el entorno real |
| 2026-05-15T11:14:33 UTC | Última modificación del registro NVD |
| En curso | Las instancias de EIMS expuestas a Internet siguen siendo objetivos de alto valor |
EIMS de Dahua proporciona capacidades de gestión de información a nivel empresarial utilizadas en despliegues integrados de seguridad y gestión de edificios. Un servlet o manejador de acciones orientado a red expuesto en capture_handle.action acepta un parámetro denominado captureCommand.
La aplicación trata captureCommand como entrada para un comando del sistema operativo anfitrión (directamente o mediante un envoltorio de shell) sin:
