CVE-2026-29116 — Denegación de Servicio Remota No Autenticada en Dahua

Tipo de aviso: Divulgación de seguridad coordinada con el proveedor
ID CVE: CVE-2026-29116
Proveedor: Dahua Technology
Publicado: 2026-06-10T06:16:34 UTC
Última modificación: 2026-06-10T06:16:34 UTC
Fuente: Centro de confianza de Dahua Product Security Incident (PSI)

Tabla de contenidos

Resumen ejecutivo
De un vistazo
Cronología de la vulnerabilidad
Descripción
Análisis técnico
Productos afectados
Puntuación CVSS
Detalles de la puntuación de la vulnerabilidad
Clasificación CWE
Prerrequisitos del ataque
Escenarios de explotación
Evaluación del impacto
Detección e indicadores de compromiso
Mitigación y remediación
Soluciones alternativas
Respuesta del proveedor
Referencias
Descargo de responsabilidad
Historial de revisión del documento

Resumen ejecutivo

Se ha identificado una vulnerabilidad de denegación de servicio remota no autenticada de alta gravedad en múltiples líneas de productos de seguridad y vigilancia Dahua. Un atacante en la red —incluyendo internet pública cuando los dispositivos están expuestos— puede enviar un paquete de red especialmente diseñado a un dispositivo vulnerable. El procesamiento de ese paquete desencadena una excepción no controlada (consistente con una aserción alcanzable o una ruta de error fatal), provocando que el dispositivo se reinicie inesperadamente.

Debido a que no se requieren credenciales y la complejidad del ataque es baja, esta vulnerabilidad es sencilla de explotar a gran escala. La explotación repetida puede producir cortes prolongados en cámaras, grabadores, terminales de intercomunicación e infraestructura relacionada. Si bien la falla no compromete directamente la confidencialidad o integridad de los datos almacenados, el impacto en la disponibilidad está calificado como Alto, lo que arroja una puntuación base CVSS 4.0 de 8.7 (ALTA).

Las organizaciones que operen hardware Dahua IPC, SD, NVR, XVR, EVS, VTO, VTH, ASI o TPC con versiones de firmware anteriores al 26 de marzo de 2026 deben tratar el parcheo o el aislamiento de red como una prioridad.

Nota sobre el etiquetado del aviso: Algunos índices de terceros listan este CVE bajo un título de "Cross-Site Scripting". La descripción oficial, el vector CVSS (VA:H sin impacto en confidencialidad o integridad) y la clasificación CWE-617 son consistentes con un bloqueo/reinicio (DoS) desencadenado por red no autenticado, no con una condición XSS basada en navegador. Este documento sigue la descripción y los datos de puntuación del proveedor.

De un vistazo

Campo	Valor
ID CVE	CVE-2026-29116
Proveedor	Dahua Technology
Tipo de vulnerabilidad	Denegación de servicio (reinicio inesperado)
Vector de ataque	Red
Autenticación requerida	No
Interacción del usuario requerida	No
Privilegios requeridos	Ninguno
Versión de CVSS	4.0
Puntuación base CVSS	8.7 — ALTA
Vector CVSS	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`
CWE	CWE-617 (Aserción alcanzable)
Remotamente explotable	Sí
Fecha de publicación	2026-06-10
Disponibilidad de parche	Versiones de firmware a partir del 26 de marzo de 2026 (según la guía del proveedor)

Cronología de la vulnerabilidad

Fecha	Evento
≤ 2026-03-26	Versiones de firmware vulnerables en distribución activa
2026-03-26	Corte de la corrección del proveedor: las versiones producidas en esta fecha o después están fuera del rango afectado (según el aviso)
2026-06-10T06:16:34 UTC	Publicación de CVE-2026-29116
2026-06-10T06:16:34 UTC	Última modificación del registro de NVD
2026-06-10	Publicación del aviso del Centro de confianza PSI de Dahua
En curso	Los operadores deben inventariar, parchear y segmentar los activos afectados

Descripción

Dahua ha informado de una vulnerabilidad de seguridad que afecta a un subconjunto de productos de su cartera de vigilancia y control de acceso. La falla reside en el software que enfrenta la red y que maneja el tráfico entrante sin validar adecuadamente o manejar de forma segura entradas malformadas o adversas.

Comportamiento observado:

Un atacante remoto no autenticado transmite un paquete especialmente diseñado a un dispositivo vulnerable a través de la red.
El servicio de red o el manejador interno del dispositivo procesa el paquete y entra en una ruta de código excepcional — por ejemplo, una aserción fallida, una falla no controlada o un error interno irrecuperable consistente con CWE-617 (Aserción alcanzable).
La excepción se propaga de una manera que provoca que el sistema se reinicie inesperadamente.
El dispositivo no está disponible hasta que se completa el ciclo de reinicio. Bajo un ataque repetido, el dispositivo puede permanecer en un estado de denegación de servicio persistente.

Lo que esta vulnerabilidad no es (según las métricas CVSS):

No requiere que la víctima abra una página web o haga clic en un enlace (UI:N).
No requiere credenciales de atacante (PR:N).
No demuestra un impacto directo en la confidencialidad o integridad del componente vulnerable (VC:N, VI:N).
No muestra un impacto en sistemas subsiguientes en el vector publicado (SC:N, SI:N, SA:N).

El riesgo principal es la pérdida de disponibilidad — las cámaras dejan de transmitir, los grabadores dejan de grabar, los intercomunicadores se desconectan y los flujos de trabajo automatizados que dependen de esos dispositivos fallan.

Análisis técnico

Causa raíz (inferida)

El texto público del proveedor no revela la función o el endpoint de protocolo exacto. Basándose en el CWE publicado y el comportamiento, las categorías de causa raíz más probables son:

Categoría	Explicación
Aserción alcanzable	Un `assert()` de depuración o integridad (o equivalente) permanece habilitado en el firmware de producción y puede ser activado por una entrada malformada.
Excepción fatal no capturada	El analizador o la máquina de estados de sesión lanza/colapsa ante valores de campo, longitudes o estados de protocolo inesperados.
Manejo inadecuado de recursos o límites	El paquete diseñado provoca un acceso fuera de límites o una operación de memoria inválida detectada en tiempo de ejecución, terminando el proceso o la ruta del núcleo.

CVE-2026-29116

Más Populares