CVE-2024-13985 — Exécution de code à distance dans Dahua EIMS capture_handle.action

Type d'avis : Divulgation de sécurité coordonnée avec le fournisseur · Exploitation active signalée
CVE ID : CVE-2024-13985
CNVD ID : CNVD-2024-17054
Fournisseur : Zhejiang Dahua Technology Co., Ltd.
Produit : EIMS (Enterprise Information Management System)
Publié : 2025-08-27T21:23:37 UTC
Dernière modification : 2026-05-15T11:14:33 UTC
Source : Bulletin de support Dahua

Table des matières

• Résumé exécutif
• En un coup d'œil
• Relation avec d'autres CVE Dahua
• Chronologie de la vulnérabilité
• Description
• Analyse technique
• Produits concernés
• Score CVSS
• Détails du score de vulnérabilité
• Classification CWE
• Prérequis d'attaque
• Scénarios d'exploitation
• Évaluation de l'impact
• Découverte d'actifs
• Détection et indicateurs de compromission
• Atténuation et remédiation
• Contournements
• Réponse du fournisseur
• Références
• Avertissement
• Historique de révision du document

Résumé exécutif

Une vulnérabilité critique d'exécution de code à distance sans authentification existe dans les versions antérieures à 2240008 de Dahua EIMS (Enterprise Information Management System). La faille est une injection de commande dans le point de terminaison HTTP capture_handle.action, où le paramètre captureCommand est transmis à un exécuteur de commandes du système d'exploitation sous-jacent sans authentification, sans assainissement ni validation d'entrée adéquate.

Tout attaquant distant pouvant atteindre l'interface web d'EIMS peut envoyer des requêtes HTTP spécialement conçues qui injectent des commandes arbitraires du système d'exploitation. Ces commandes s'exécutent dans le contexte du serveur, permettant une compromission totale du système — vol de données, persistance, mouvement latéral, déploiement de ransomware et perturbation des flux de travail de sécurité physique dépendants.

La vulnérabilité obtient le score de base CVSS 4.0 maximal de 10,0 (CRITIQUE) avec un impact Élevé sur la confidentialité, l'intégrité et la disponibilité à la fois sur le système vulnérable et sur les systèmes suivants (VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). Des preuves d'exploitation ont été observées dans la nature.

EIMS est une plateforme back-end d'entreprise, et non une caméra IPC de terrain. La compromission affecte généralement la gestion centralisée, les intégrations de contrôle d'accès et les données organisationnelles plutôt qu'un simple capteur. Traitez les instances EIMS exposées sur Internet ou accessibles via un VLAN comme une priorité de correctif d'urgence.

En un coup d'œil

Relation avec d'autres CVE Dahua

Ce dépôt documente également des avis sur les dispositifs de terrain du lot PSI 2026 de Dahua. CVE-2024-13985 appartient à une ligne de produits distincte avec un profil de sévérité nettement plus élevé.

Point clé pour les défenseurs : Corriger les caméras ne corrige pas EIMS. Inventoriez séparément les serveurs d'applications exécutant les logiciels d'entreprise Dahua.

Chronologie de la vulnérabilité

Description

Dahua EIMS offre des capacités de gestion des informations au niveau de l'entreprise utilisées dans les déploiements de sécurité intégrée et de gestion de bâtiments. Un servlet ou gestionnaire d'actions exposé au réseau via capture_handle.action accepte un paramètre nommé captureCommand.

Mode de défaillance

L'application traite captureCommand comme entrée d'une commande du système d'exploitation hôte (directement ou via un wrapper shell) sans :

• Exiger une session authentifiée
• Valider les jeux de caractères autorisés ou le vocabulaire des commandes
• Échapper les métacaractères du shell
• Utiliser des API sûres (par exemple, invocation de processus paramétrée avec exécutable fixe et tableau d'arguments)

Un attaquant non authentifié soumet des requêtes HTTP spécialement conçues contenant des charges utiles d'injection de commande dans captureCommand. Le serveur exécute des commandes du système d'exploitation contrôlées par l'attaquant avec les privilèges du processus applicatif EIMS — généralement un compte de service privilégié sur des hôtes Windows ou Linux.

Conséquences

Une exploitation réussie entraîne :

Analyse technique

Point de terminaison et paramètre

Le suffixe .action est caractéristique d'Apache Struts2 ou de frameworks Java MVC de type Struts couramment utilisés dans les applications web Java d'entreprise. Bien que le bulletin du fournisseur décrive une injection de commande sans nommer le framework, les défenseurs doivent inspecter les déploiements EIMS à la recherche de conteneurs web Java (Tomcat, etc.) et de reverse proxies transférant vers ce point de terminaison.

CWE-78 — Mécanismes de l'injection de commandes du système d'exploitation

La CWE-78 se produit lorsque le code applicatif concatène des entrées non fiables dans des commandes interprétées par /bin/sh, cmd.exe, ou équivalent :```

Conceptual vulnerable pattern (pseudocode — not vendor source)

Runtime.exec("capture-tool " + captureCommand);

or

ProcessBuilder("sh", "-c", "capture-tool " + captureCommand);

Les métacaractères du shell (`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, retours à la ligne) permettent la **terminaison de commande** et l'exécution de **commandes secondaires arbitraires**.

### Pourquoi CVSS 10.0 est justifié

Chaque métrique d'impact CVSS 4.0 du vecteur publié est **High**, y compris les impacts sur les **systèmes subséquents** :

| Propriété | Valeur | Implication |
|---|---|---|
| `AV:N` | Réseau | Exploitation WAN possible |
| `AC:L` | Complexité faible | Une seule requête HTTP construite |
| `AT:N` | Aucune exigence d'attaque spéciale | Déploiement par défaut exploitable |
| `PR:N` | Aucun privilège | Aucun compte requis |
| `UI:N` | Aucune interaction utilisateur | Exploitation entièrement automatisée |
| `VC/VI/VA:H` | CIA complète sur l'hôte EIMS | Compromission totale |
| `SC/SI/SA:H` | Systèmes subséquents High | EIMS est un hub d'intégration central |

C'est parmi les scores publiés les plus graves possibles sous CVSS 4.0.

### Contexte de l'architecture EIMS (Opérationnel)

EIMS se situe généralement de manière **centralisée** dans l'architecture de sécurité :```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

Compromise at the EIMS layer is architecturally worse than compromising a single IPC — it is a control plane breach.

Public Exploitation Ecosystem

Multiple public sources reference this flaw (see References):

• Vendor bulletin on support.dahuatech.com
• CNVD and NVD entries
• Community write-ups (cn-sec.com, CSDN)
• Scanner templates (Nuclei, Pentest-Tools, VulnCheck, S4E)

The presence of scanner signatures and in-the-wild exploitation means opportunistic mass exploitation is an immediate realistic threat, not a theoretical research concern.

Affected Products

Vendor Summary

Totals: 1 affected vendor · 1 affected product (EIMS)

Fixed Version

Version Identification

Operators should record:

1. EIMS build or package version from the admin UI or installer manifest
2. Installed patch level from Dahua support portal entitlements
3. Host OS and deployment topology (standalone vs. clustered)

If version enumeration is unavailable, assume vulnerable until confirmed patched.

What EIMS Is Not

CVSS Scoring

Summary

CVSS 4.0 Metric Breakdown

Maximum Severity Interpretation

A 10.0 under CVSS 4.0 indicates no compensating metric reduces urgency. Patching, isolation, or takedown from untrusted networks should be treated as P0 / emergency.

Vulnerability Scoring Details

Visual summary of the published CVSS 4.0 selector positions:

Exploit Characteristics```

Attack Vector: [Network] Adjacent Local Physical Attack Complexity: [Low] High Attack Requirements: [None] Present Privileges Required: [None] Low High User Interaction: [None] Passive Active

### Impact sur le système vulnérable```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

Impact système ultérieur```

Subseq Confidentiality: None Low [High] Subseq Integrity: None Low [High] Subseq Availability: None Low [High]

---

## Classification CWE

| # | ID CWE | Nom | Pertinence |
|---|---|---|---|
| 1 | **CWE-78** | [Mauvaise neutralisation des éléments spéciaux utilisés dans une commande OS (« OS Command Injection »)](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand` transmis à l'exécution d'une commande OS sans neutralisation |

### Faiblesses associées (contextuelles)

| CWE | Nom | Relation |
|---|---|---|
| CWE-77 | Injection de commande (générique) | Catégorie parente |
| CWE-306 | Authentification manquante pour une fonction critique | Accessibilité non authentifiée du gestionnaire dangereux |
| CWE-20 | Validation d'entrée inappropriée | Échec de validation racine |
| CWE-434 | Téléversement sans restriction | Conséquence post-exploitation possible, pas le cœur de la CVE |

---

## Prérequis d'attaque

| Prérequis | Requis ? | Remarques |
|---|---|---|
| Identifiants EIMS valides | **Non** | Non authentifié |
| Interaction de l'utilisateur victime | **Non** | Une seule requête HTTP suffit |
| Compromission préalable | **Non** | Exploitation autonome |
| Accessibilité réseau vers EIMS HTTP(S) | **Oui** | `capture_handle.action` accessible |
| Version vulnérable (`< 2240008`) | **Oui** | Les versions corrigées ne sont pas affectées |
| Exposition à Internet | **Non requis** | Les instances accessibles via LAN/WAN/VPN sont également à risque |

**Exploitable à distance :** **Oui**

---

## Scénarios d'exploitation

### Scénario 1 — EIMS exposé à Internet (Shodan / ZoomEye)

Les attaquants énumèrent les hôtes `app="Dahua EIMS"` sur les moteurs de scan Internet, envoient une injection de commande à `capture_handle.action`, déploient un webshell ou un reverse shell, et exfiltrent les bases de données de sécurité de l'entreprise.

### Scénario 2 — Campagne de masse d'opérateur de ransomware

Les scanners automatisés identifient les instances vulnérables. Les attaquants chiffrent l'hôte EIMS et les partages de fichiers connectés, exigent une rançon pendant que le contrôle d'accès physique et les intégrations de gestion des visiteurs sont hors ligne.

### Scénario 3 — Mouvement latéral à partir d'une brèche de périmètre

Un attaquant compromet un serveur web en DMZ, pivote vers une instance EIMS accessible en interne sur un VLAN de gestion partagé, et utilise les identifiants/clés API EIMS stockés sur l'hôte pour interagir avec les contrôleurs de portes et caméras en aval.

### Scénario 4 — Espionnage sans initié

Des acteurs étatiques ou criminels exfiltrent silencieusement les journaux d'accès du personnel, les enregistrements de visiteurs et les plans de bâtiment sans redémarrer les services — maintenant une persistance à long terme via des backdoors cron/systemd.

### Scénario 5 — Chaîne d'approvisionnement / MSP intégrateur

Un fournisseur de services managés héberge une instance EIMS pour des dizaines de clients. Une seule compromission affecte **tous les locataires** de ce serveur — une défaillance catastrophique concentrée.

---

## Évaluation de l'impact

### Impact technique

| Domaine | Niveau | Détail |
|---|---|---|
| Confidentialité | **Élevé** | Accès complet en lecture au système de fichiers et à la base de données typique |
| Intégrité | **Élevé** | Écriture arbitraire de fichiers, altération de la configuration, backdoors |
| Disponibilité | **Élevé** | Tuer des processus, effacer des données, rançongiciel |
| Systèmes suivants | **Élevé** | Les identifiants d'intégration permettent des abus en aval |

### Impact métier

| Secteur | Conséquence |
|---|---|
| **Campus d'entreprise** | Contournement du contrôle d'accès, fuite de données des visiteurs |
| **Gouvernement / infrastructures critiques** | Brèche du plan de contrôle de la sécurité physique |
| **Santé** | Exposition des journaux d'accès pertinents pour HIPAA |
| **Éducation** | Manipulation des systèmes de sécurité des étudiants et du personnel |
| **Intégrateurs / MSP** | Violation multi-clients à partir d'un seul hôte |

### Exposition réglementaire et légale

La compromission d'EIMS peut déclencher :

- Obligations de notification de violation (RGPD, lois des États sur la confidentialité, etc.)
- Signalement d'infrastructures critiques dans les secteurs réglementés
- Pénalités contractuelles de SLA avec les clients de sécurité physique

---

## Découverte d'actifs

### Requête ZoomEye

| Plateforme | Requête | Lien |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [Rechercher sur ZoomEye](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### Inventaire défensif (autorisé uniquement)

| Méthode | Action |
|---|---|
| **Enregistrements CMDB / licences** | Lister toutes les installations et versions EIMS |
| **Inventaire des VM** | Rechercher les paquets Dahua EIMS sur les serveurs d'applications |
| **Configurations de proxy inverse** | Identifier les upstreams routant vers `capture_handle.action` |
| **Scanners de vulnérabilité** | Exécuter les contrôles approuvés par le fournisseur à l'aide des signatures publiées |
| **Surface d'attaque Internet** | Comparer les résultats ZoomEye avec les IP publiques possédées |

> Ne scannez que les actifs que vous possédez ou pour lesquels vous êtes explicitement autorisé à tester.

---

## Détection et indicateurs de compromission

### Indicateurs réseau

- HTTP `GET`/`POST` vers **`/capture_handle.action`** ou correspondance de suffixe de chemin
- Requêtes contenant **`captureCommand=`** avec des métacaractères shell ou équivalents encodés (`%3B`, `%7C`, `%26`, `%24`, `` %60 ``, `%0A`)
- Pic de réponses **4xx/5xx** suivi de **nouvelles connexions sortantes** depuis l'hôte EIMS
- **Requêtes DNS** inattendues ou **beaconing** depuis le serveur d'applications après un HTTP anormal

### Indicateurs hôte

- Nouvelles **tâches cron**, **tâches planifiées** ou **unités systemd** sur le serveur EIMS
- **Web shells** inattendus dans les répertoires Tomcat/webapp
- **Nouveaux utilisateurs locaux** ou modifications **SSH authorized_keys**
- Processus **java** ou **tomcat** générant `/bin/sh`, `cmd.exe`, `powershell`, `bash`
- Alertes antivirus/EDR sur l'hôte EIMS corrélées avec les journaux d'accès web

### Modèles de journaux d'application

- Accès à `capture_handle.action` depuis des **IP sources inconnues**
- Requêtes identiques à **haute fréquence** (comportement de scanner)
- Erreurs dans les utilitaires d'encapsulation de commandes immédiatement après des valeurs `captureCommand` suspectes

### Flux de renseignement sur les menaces

Surveillez :

- Les signatures CNVD-2024-17054 / CVE-2024-13985
- Les correspondances de modèles Nuclei (des modèles publics existent — utilisez-les pour les scans **autorisés**)
- Les règles SIEM étiquetant les tentatives d'exploitation de Dahua EIMS

### Requêtes d'urgence recommandées (SIEM)```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)

Atténuation et remédiation

Remédiation principale — Mise à niveau vers 2240008+

1. Inventorier tous les déploiements EIMS et enregistrer les versions.
2. Mettre à niveau immédiatement vers la version 2240008 ou ultérieure via le Bulletin de support Dahua.
3. Vérifier le succès du correctif via la chaîne de version et l'absence de comportement exploitable lors de tests de régression autorisés.
4. Faire pivoter toutes les informations d'identification stockées sur l'hôte EIMS ou accessibles depuis celui-ci (base de données, clés API, comptes de service, mots de passe d'intégration).

Confinement d'urgence (si le correctif est retardé)

Rétablissement après compromission

Si une exploitation est suspectée :

1. Isoler l'hôte du réseau
2. Conserver les images médico-légales avant la reconstruction
3. Reconstruire à partir d'un média fiable (pas seulement un « nettoyage » sur place)
4. Faire pivoter tous les secrets à l'échelle de l'entreprise qui étaient accessibles depuis EIMS
5. Examiner les configurations des appareils en aval pour détecter des modifications non autorisées
6. Signaler conformément aux exigences organisationnelles de réponse aux incidents et aux exigences réglementaires

Durcissement du déploiement sécurisé (long terme)

Contournements

Aucun contournement permanent approuvé par le fournisseur ne remplace la mise à niveau vers 2240008+. Mesures transitoires :

1. Bloquer l'accès externe à capture_handle.action au niveau du reverse proxy/WAF.
2. Isoler EIMS des réseaux non fiables jusqu'à l'application du correctif.
3. Désactiver la couche web d'EIMS si la continuité d'activité permet d'utiliser temporairement d'autres voies de gestion.

Ce sont des contrôles provisoires ; le code vulnérable reste exploitable par quiconque peut atteindre le point de terminaison.

Réponse du fournisseur

Dahua a publié un bulletin de sécurité via son portail de support :

• Bulletin : https://support.dahuatech.com/bulletin/info?IsDpValue=APKncD%2FB

Obtenez les installateurs corrigés, les notes de version et toute recommandation transitoire à partir de ce bulletin ou des canaux de support autorisés de Dahua.

Références

Avertissement

Ce document est un avis de sécurité informatif compilé à partir de métadonnées CVE publiquement disponibles, de bulletins de fournisseurs et de rapports du secteur. Il vise à aider les défenseurs à comprendre et à prioriser la remédiation de CVE-2024-13985.

• Ce README ne fournit pas de code d'exploitation weaponisé, de payloads d'injection copiables, ni de tutoriels de compromission étape par étape.
• L'analyse technique du comportement du framework est déduite lorsque le code source du fournisseur n'est pas disponible.
• Les liens de recherche d'actifs sont destinés à l'inventaire autorisé de votre propre surface d'attaque.
• Appliquez les correctifs et les mesures de confinement conformément aux procédures de gestion des changements et de réponse aux incidents de votre organisation.
• Les auteurs ne sont pas responsables des actions entreprises sur la base de ce document.

Utilisation responsable : Testez uniquement les systèmes que vous possédez ou que vous êtes autorisé à évaluer. Signalez toute exploitation active aux CERT nationaux et au support Dahua, le cas échéant.

Historique des révisions du document

_{CVE-2024-13985 · Dahua EIMS · CVSS 4.0 10.0 CRITICAL · CWE-78 · capture_handle.action}