crimsonfiedofficial/cve-2026-29115Dahua CVE-2026-29115
Tipo di advisory: Divulgazione di sicurezza coordinata dal venditore
ID CVE: CVE-2026-29115
Venditore: Dahua Technology
Pubblicato: 2026-06-10T06:08:21 UTC
Ultima modifica: 2026-06-10T06:08:21 UTC
Fonte: Dahua Product Security Incident (PSI) Trust Center
È stata identificata una vulnerabilità di denial of service remota autenticata a severità media in alcuni prodotti Dahua delle linee IPC (telecamere IP) e SD (speed dome / PTZ). Un attaccante che possiede già credenziali valide del dispositivo può inviare un pacchetto di rete appositamente predisposto a un'unità vulnerabile. L'elaborazione di tale pacchetto innesca un'eccezione non gestita (coerente con un'asserzione raggiungibile o un percorso di errore fatale), causando un riavvio imprevisto del dispositivo.
A differenza della divulgazione correlata CVE-2026-29116, che non richiede alcuna autenticazione, questa falla richiede privilegi elevati (PR:H) sul dispositivo target. Questo vincolo riduce la sfruttabilità pratica da parte di attaccanti opportunistici su scala internet, ma il rischio rimane significativo in ambienti in cui le credenziali delle telecamere sono condivise, predefinite, divulgate o recuperabili — una condizione comune nelle installazioni CCTV legacy.
La vulnerabilità non mostra un impatto diretto sulla riservatezza o sull'integrità nel vettore CVSS pubblicato. L'impatto sulla disponibilità è valutato Alto, producendo un punteggio base CVSS 4.0 di 6.9 (MEDIA).
Le organizzazioni che utilizzano hardware Dahua IPC o SD interessato con build del firmware precedenti al 26 marzo 2026 dovrebbero applicare la patch, ruotare le credenziali e limitare l'accesso al piano di gestione.
Nota sull'etichettatura dell'advisory: Alcuni indici titolano questa CVE "Dahua Buffer Overflow." La descrizione del venditore, le metriche CVSS (
VA:Hsoltanto) e la classificazione CWE-617 (Asserzione raggiungibile) descrivono un denial of service per crash/riavvio dopo la consegna di un pacchetto autenticato — non una violazione di riservatezza/integrità per corruzione di memoria valutata. Questo documento segue la descrizione del venditore e i dati di punteggio. La gestione del buffer può comunque far parte del difetto sottostante, ma l'impatto pubblicato è solo sulla disponibilità.
Entrambe le CVE sono state pubblicate il 2026-06-10 dallo stesso lotto di divulgazioni Dahua PSI. Condividono somiglianze strutturali, ma differiscono per ambito e modello di attaccante.
Indicazione per i difensori: Applicare la patch a entrambi i problemi sui parco IPC/SD sovrapposti. Dare priorità a 29116 per i dispositivi esposti a internet (senza autenticazione). Dare priorità a 29115 laddove le credenziali di operatori o integratori sono ampiamente note, memorizzate in database VMS o integrate in app mobile.
Dahua ha segnalato una vulnerabilità di sicurezza che interessa alcuni modelli delle sue linee di prodotti IPC e SD. Il difetto risiede nel software accessibile in rete che accetta sessioni autenticate e processa dati di protocollo influenzati dall'attaccante senza una validazione sufficiente o una gestione sicura dei guasti.
Comportamento osservato:
Ciò che questa vulnerabilità non è (secondo le metriche CVSS):
UI:N).VC:N).VI:N).SC:N, SI:N, SA:N).Cosa la distingue dalle varianti senza autenticazione:
PR:H). In pratica ciò corrisponde spesso ad account amministrativi o equivalenti a livello di dispositivo, piuttosto che a utenti di sola lettura per il monitoraggio — la mappatura esatta dei ruoli è specifica del prodotto e va confermata con la documentazione del venditore.Il testo pubblico del venditore non rivela la funzione vulnerabile, il nome del servizio o le dimensioni esatte del buffer. Sulla base della CWE pubblicata, del titolo e del comportamento, le categorie plausibili di causa principale includono:
| Categoria | Spiegazione |
|---|---|
| Asserzione raggiungibile su input non valido | Il percorso di codice autenticato valida in modo insufficiente e raggiunge o equivalente su lunghezze o campi malformati. |
L'esito pubblicato è perdita di disponibilità a livello di riavvio, non esecuzione remota di codice dimostrata o esfiltrazione di dati nel record CVSS.
I titoli delle CVE non sono sempre precisi. Un difetto di classe buffer overflow può manifestarsi come:
In questo caso, il punteggio del venditore limita l'impatto alla disponibilità, suggerendo una corruzione non sfruttabile, un abort prima dello sfruttamento, o una valutazione del venditore secondo cui non si ottengono esiti pratici di integrità/riservatezza.
Poiché lo sfruttamento richiede privilegi elevati, la superficie rilevante è tipicamente l'API di gestione e configurazione disponibile dopo il login, non endpoint di discovery anonimi. A seconda del modello e del firmware, ciò può includere:
Gli attaccanti con credenziali recuperate da database VMS, laptop degli installatori o account admin predefiniti possono raggiungere questi piani da qualsiasi punto in cui la porta di gestione è esposta.
| Prodotto | Distribuzione tipica | Sfumatura di impatto DoS |
|---|---|---|
| IPC | Telecamere fisse, videocitofoni, piccole aziende | Interruzione del singolo sensore; può compromettere una zona di copertura |
| SD | Cupole PTZ, tracciamento perimetrale | Perdita del tracciamento attivo; interruzione della ronda preset; latenza di reset del sottosistema meccanico più lunga |
I riavvii delle SD possono richiedere più tempo per tornare allo stato PTZ calibrato, estendendo il tempo di inattività effettivo oltre il semplice tempo di boot.
| # | Venditore | Famiglie di prodotti | Indicazioni su versione / build |
|---|---|---|---|
| 1 | Dahua | IPC / SD | Interessati: build del firmware precedenti al 26 marzo 2026 (limitate ad alcuni modelli di ciascuna famiglia) |
Totali: 1 venditore interessato · 1 raggruppamento di prodotto interessato (IPC + SD)
| Famiglia | Ruolo tipico | Esempio di impatto operativo |
|---|---|---|
| IPC | Telecamere IP fisse | Perdita della visualizzazione live, interruzioni delle registrazioni, perdita delle funzioni di analisi |
| SD | Speed dome / telecamere PTZ | Mancato tracciamento, interruzione della ronda, perdita dei preset fino a ricalibrazione |
Le seguenti linee Dahua non sono elencate per CVE-2026-29115 (sebbene possano essere interessate da altre CVE come CVE-2026-29116):
Sono interessati solo alcuni modelli all'interno di IPC e SD. Gli operatori devono verificare:
| Punteggio | Versione | Severità | Vettore |
|---|---|---|---|
| 6.9 | 4.0 | MEDIA | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
PR:H è il principale fattore di differenziazione del punteggio rispetto alla variante senza autenticazione:
| Fattore | Effetto |
|---|---|
| Barriera di acquisizione delle credenziali | Gli scanner WAN opportunistici non possono sfruttare senza segreti |
| Minaccia insider / post-violazione | Ancora grave quando VMS, installatori o impostazioni predefinite forniscono accesso admin |
| Movimento laterale | Una workstation compromessa con password di telecamere memorizzate diventa punto di lancio dello sfruttamento |
6.9 MEDIA non dovrebbe essere letto come "priorità bassa ovunque". Negli ambienti CCTV con credenziali deboli, gli attacchi autenticati alle telecamere sono di routine.
Riepilogo visivo delle posizioni dei selettori CVSS 4.0 pubblicati:
Attack Vector: [Network] Adjacent Local Physical Attack Complexity: [Low] High Attack Requirements: [None] Present Privileges Required: None Low [High] User Interaction: [None] Passive Active
### Impatto sul sistema vulnerabile```
Vuln Confidentiality: [None] Low High
Vuln Integrity: [None] Low High
Vuln Availability: [High] Low None
Subseq Confidentiality: [None] Low High Subseq Integrity: [None] Low High Subseq Availability: [None] Low High
---
## Classificazione CWE
| # | ID CWE | Nome | Rilevanza |
|---|---|---|---|
| 1 | **CWE-617** | [Assertion raggiungibile](https://cwe.mitre.org/data/definitions/617.html) | Input non attendibile raggiunge un'assertion fatale o un percorso di abort nel codice privilegiato |
### CWE-617 in Contesti Autenticati
Le vulnerabilità autenticate vengono spesso liquidate come "solo addetti ai lavori". Nelle reti di videosorveglianza:
- Gli account degli integratori sono condivisi tra i siti dei clienti
- I server VMS memorizzano centralmente le password dei dispositivi
- Le credenziali predefinite sopravvivono per anni su VLAN isolate
- Gli ex dipendenti mantengono l'accesso admin in assenza di rotazione
Un'assertion raggiungibile dietro il **piano di gestione autenticato** rappresenta quindi comunque un **rischio materiale**, soprattutto se abbinata al riutilizzo delle credenziali.
### Buffer Overflow vs. CWE-617
Se il difetto sottostante comporta una corruzione della memoria, la CWE-617 può riflettere il **comportamento di produzione osservabile** (abort fatale) piuttosto che la tassonomia completa della debolezza. I difensori dovrebbero applicare patch indipendentemente dalla nomenclatura dell'indice.
---
## Prerequisiti di Attacco
| Prerequisito | Richiesto? | Note |
|---|---|---|
| **Credenziali del dispositivo ad alto privilegio** | **Sì** | `PR:H` — accesso di classe admin (specifico del prodotto) |
| Interazione con l'utente vittima | No | Nessuna esca o azione del browser necessaria |
| Raggiungibilità di rete | Sì | Porta di gestione o servizio autenticato raggiungibile |
| Compromissione precedente di un altro sistema | Utile, non obbligatoria | Credenziali rubate da VMS qualificano |
| Esposizione a Internet | Non richiesta | Aumenta la fattibilità dello sfruttamento remoto |
| Conoscenza del modello target | Utile | Il pacchetto elaborato può essere specifico di modello/firmware |
**Sfruttabile da remoto:** **Sì** (una volta che credenziali e percorso di rete esistono)
---
## Scenari di Sfruttamento
### Scenario 1 — Insider Scontento
Un tecnico con credenziali admin per tutte le telecamere del sito invia pacchetti elaborati agli endpoint IPC fuori orario, riavviando ripetutamente le zone di copertura critiche.
### Scenario 2 — Vault Password VMS Rubato
Un attaccante esfiltra il database delle password delle telecamere da un host Milestone / Genetec / VMS personalizzato compromesso. Riavvia da remoto ogni Dahua IPC sulla WAN del cliente senza ulteriore escalation di privilegi.
### Scenario 3 — Spazzate con Credenziali Predefinite
Un attaccante si autentica con le impostazioni predefinite di fabbrica (`admin` / elenchi di password note) su telecamere esposte a Internet, quindi innesca loop di riavvio per molestare o accecare il monitoraggio durante un'intrusione fisica altrove nella proprietà.
### Scenario 4 — Sabotaggio SD PTZ durante il Tracciamento Attivo
Una speed dome da stadio traccia un evento di sicurezza. Un input elaborato autenticato riavvia l'unità SD, facendo perdere il tracciamento PTZ attivo e il posizionamento dei preset durante una finestra critica.
### Scenario 5 — Rumore Laterale Post-Compromissione Iniziale
Dopo aver compromesso tramite phishing il laptop di un installatore, un attaccante usa le credenziali memorizzate per disturbare le telecamere — degradando l'acquisizione forense mentre un team separato effettua un ingresso fisico.
---
## Valutazione dell'Impatto
### Impatto Tecnico
| Dominio | Valutazione | Dettaglio |
|---|---|---|
| Riservatezza | Nessuna (diretta) | Non valutata nel vettore pubblicato |
| Integrità | Nessuna (diretta) | Non valutata nel vettore pubblicato |
| Disponibilità | **Alta** | Riavvio imprevisto; ripetibile |
### Impatto Aziendale (Contestuale)
| Settore | Conseguenza Potenziale |
|---|---|
| Retail | Punti ciechi durante eventi di furto |
| Trasporti | Lacune nelle telecamere di banchina / atrio |
| Infrastrutture critiche | Perdita del tracciamento PTZ perimetrale |
| Campus aziendali | Caduta di copertura di parcheggi e ingressi |
### Barriera di Autenticazione vs. Rischio nel Mondo Reale
| Ambiente | Livello di Rischio Pratico |
|---|---|
| Credenziali forti e uniche + nessuna esposizione WAN | Più basso — l'attaccante deve prima violare l'autenticazione |
| Password integratore condivisa su 500 telecamere | **Alto** — un singolo segreto abilita DoS di massa |
| Port-forward Internet con admin predefinito | **Alto** — simile al rischio pratico non autenticato |
| LAN air-gapped, ACL strette | Moderato — dipendente da insider o movimento laterale |
---
## Rilevamento e Indicatori di Compromissione
Nessuna firma di pacchetto pubblica è documentata. Concentrarsi sull'**abuso di sessioni autenticate** correlato con **eventi di riavvio**.
### Indicatori su Host / Dispositivo
- Riavvii imprevisti in seguito a sessioni di gestione autenticate da IP di origine insoliti
- Messaggi di errore fatale o assertion nei log del dispositivo immediatamente prima del riavvio
- Uptime brevi dopo attività API admin
- Unità SD che perdono i flag di calibrazione PTZ dopo un riavvio non pianificato
### Indicatori di Autenticazione
- Login admin riusciti da geolocalizzazioni o subnet non usate dagli operatori
- Raffica di chiamate API autenticate da un singolo account su molte telecamere
- Sessioni di configurazione fuori orario senza ticket di modifica
- Uso di account integratore legacy ritenuti dismessi
### Indicatori di Rete
- Traffico sulla porta di gestione (HTTP/S, porte SDK proprietarie) immediatamente precedente agli eventi offline
- Dimensioni di payload identiche ripetute o modelli di richiesta anomali dopo il login
- Correlazione tra IP di uscita VPN e timestamp di riavvio nei syslog delle telecamere
### Azioni Raccomandate
- Abilitare **syslog** sui dispositivi IPC/SD verso il SIEM centralizzato
- Avvisare su **disconnessione di massa** dal VMS in brevi intervalli
- Correlare i **log di autenticazione** con gli **eventi di riavvio watchdog**
- Eseguire audit sugli account con privilegi **admin**; rimuovere i login integratore inutilizzati
---
## Mitigazione e Rimedio
### Rimedio Primario — Aggiornamento Firmware
1. Inventariare tutte le unità Dahua **IPC e SD** con modello, serial e data di build del firmware.
2. Contrassegnare i dispositivi con build **anteriori al 26 marzo 2026**.
3. Ottenere il firmware corretto dal [Dahua PSI Trust Center](https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi).
4. Eseguire l'aggiornamento durante le finestre di manutenzione; verificare stream, preset PTZ e analitiche dopo il riavvio.
5. Confermare la data di build nell'interfaccia del dispositivo o tramite query ONVIF/SDK dopo la patch.
### Igiene delle Credenziali (Critica per le Falle PR:H)
| Azione | Motivazione |
|---|---|
| **Ruotare tutte le password admin delle telecamere** | Neutralizza le credenziali rubate da vecchie esportazioni VMS |
| **Password unica per dispositivo** | Limita il raggio di esplosione di un singolo segreto divulgato |
| **Disabilitare gli account inutilizzati** | Rimuove i backdoor dormienti degli integratori |
| **Applicare una policy password forte** | Riduce l'indovinamento delle credenziali predefinite |
| **Migrare verso autenticazione centralizzata** dove supportato | Migliora la verificabilità e la revoca |
### Controlli di Rete
| Controllo | Obiettivo |
|---|---|
| **Segmentare le telecamere su VLAN dedicate** | Contenere il movimento laterale |
| **Limitare le porte di gestione per IP di origine** | Solo VMS e jump host possono autenticarsi |
| **Eliminare il port-forwarding WAN diretto** | Forzare l'accesso VPN o zero-trust |
| **Disabilitare i servizi inutilizzati** | Ridurre la superficie d'attacco autenticata |
| **Monitorare l'accesso API admin** | Rilevare l'abuso prima di riavvii ripetuti |
### Patching Coordinato con CVE-2026-29116
Sulle flotte IPC/SD, applicare il firmware che affronta **entrambe** CVE-2026-29115 e [CVE-2026-29116](../CVE-2026-29116/README.md). Il problema non autenticato è decisamente peggiore dal punto di vista dell'esposizione; i problemi autenticati rimangono pericolosi dove i segreti sono deboli.
---
## Workaround
Nessun workaround di sola configurazione è documentato che rimuova completamente la vulnerabilità senza aggiornare il firmware. Fino alla patch:
1. **Ruotare e irrobustire le credenziali** — riduce chi può soddisfare `PR:H`.
2. **Limitare l'accesso di gestione** a subnet fidate e solo VPN.
3. **Monitorare i loop di riavvio** e bloccare le sorgenti offensive sul firewall.
4. **Disabilitare l'admin remoto** sulle telecamere che necessitano solo di connettività cloud/P2P in uscita (dipende dall'architettura).
---
## Risposta del Venditore
Dahua ha pubblicato questo problema tramite il proprio programma **Product Security Incident (PSI)**:
- **Trust Center / PSI:** https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi
Consultare il bollettino del venditore per:
- Elenchi IPC/SD interessati specifici per modello
- Immagini firmware corrette e note di rilascio
- Eventuali ulteriori indicazioni di hardening
---
## Riferimenti
| Risorsa | URL |
|---|---|
| Dahua PSI Trust Center | https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi |
| Voce NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-29115 |
| Record CVE | https://www.cve.org/CVERecord?id=CVE-2026-29115 |
| Correlato: CVE-2026-29116 | https://www.cve.org/CVERecord?id=CVE-2026-29116 |
| Definizione CWE-617 | https://cwe.mitre.org/data/definitions/617.html |
| Specifica CVSS 4.0 | https://www.first.org/cvss/v4.0/specification-document |
---
## Disclaimer
Questo documento è un **advisory informativo di sicurezza** compilato da metadati CVE pubblicamente disponibili e dichiarazioni del venditore. Ha lo scopo di assistere difensori, integratori e ricercatori nella comprensione del rischio di **CVE-2026-29115** e nella prioritizzazione del rimedio.
- Questo README **non fornisce** codice di exploit, modelli di pacchetti elaborati o ricette di attacco.
- L'analisi tecnica dedotta non è una divulgazione della causa principale confermata dal venditore.
- L'applicabilità di modelli e firmware **deve** essere verificata rispetto alle linee guida ufficiali Dahua PSI.
- Gli autori non sono responsabili per azioni intraprese sulla base di questo documento.
**Uso responsabile:** Segnalare ulteriori scoperte tramite divulgazione coordinata (PSI del venditore, CERT o programmi di bug bounty autorizzati).
---
## Cronologia delle Revisioni del Documento
| Versione | Data | Modifiche |
|---|---|---|
| 1.0 | 2026-07-11 | Advisory README completo iniziale basato sui dati di pubblicazione di CVE-2026-29115 |
---
<p align="center">
<sub>CVE-2026-29115 · Dahua Technology · CVSS 4.0 6.9 MEDIUM · CWE-617 · IPC / SD</sub>
</p>
| Campo | Valore |
|---|
| ID CVE | CVE-2026-29115 |
| Venditore | Dahua Technology |
| Tipo di vulnerabilità | Denial of Service (riavvio imprevisto) |
| Vettore di attacco | Rete |
| Autenticazione richiesta | Sì (privilegi elevati) |
| Interazione dell'utente richiesta | No |
| Privilegi richiesti | Alti |
| Versione CVSS | 4.0 |
| Punteggio base CVSS | 6.9 — MEDIA |
| Vettore CVSS | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
| CWE | CWE-617 (Asserzione raggiungibile) |
| Sfruttabile da remoto | Sì |
| Data di pubblicazione | 2026-06-10 |
| Disponibilità della correzione | Build del firmware dal 26 marzo 2026 in poi (secondo le indicazioni del venditore) |
| Attributo | CVE-2026-29115 (questo advisory) | CVE-2026-29116 |
|---|
| Punteggio CVSS 4.0 | 6.9 — MEDIA | 8.7 — ALTA |
| Privilegi richiesti | Alti (PR:H) | Nessuno (PR:N) |
| Famiglie interessate | IPC, SD | IPC, SD, NVR, XVR, EVS, VTO, VTH, ASI, TPC |
| Pubblicazione (UTC) | 2026-06-10T06:08:21 | 2026-06-10T06:16:34 |
| Esito osservato | Riavvio imprevisto (DoS) | Riavvio imprevisto (DoS) |
| CWE | CWE-617 | CWE-617 |
| Titolo nell'indice | Buffer Overflow | Cross-Site Scripting (etichettata erroneamente) |
| Data | Evento |
|---|
| ≤ 2026-03-26 | Build del firmware IPC/SD vulnerabili in distribuzione attiva |
| 2026-03-26 | Cutoff della correzione del venditore — le build prodotte a partire da questa data sono fuori dall'intervallo interessato (secondo l'advisory) |
| 2026-06-10T06:08:21 UTC | Pubblicazione di CVE-2026-29115 |
| 2026-06-10T06:08:21 UTC | Ultima modifica del record NVD |
| 2026-06-10T06:16:34 UTC | Pubblicazione della CVE correlata CVE-2026-29116 (variante senza autenticazione) |
| In corso | Gli operatori dovrebbero inventariare i parco IPC/SD, applicare le patch e indurire le credenziali |
assert()| Gestione errata del buffer che porta ad abort fatale | Un payload sovradimensionato o malformato supera un buffer interno; il controllo difensivo fallisce in modo fatale invece di restituire un errore. |
| Corruzione della macchina a stati | Un pacchetto predisposto porta il parser in uno stato illegale; il controllo di integrità innesca la terminazione del processo. |
| Metrica | Valore | Significato per questa CVE |
|---|
| AV (Vettore di attacco) | Rete (N) | Sfruttamento in rete; gli attaccanti remoti sono qualificati quando i servizi di gestione sono raggiungibili |
| AC (Complessità di attacco) | Bassa (L) | Nessuna condizione di race particolare o vincolo ambientale indicato |
| AT (Requisiti di attacco) | Nessuno (N) | Nessuna peculiarità di distribuzione oltre ad autenticazione e raggiungibilità |
| PR (Privilegi richiesti) | Alti (H) | L'attaccante deve possedere credenziali del dispositivo con privilegi elevati |
| UI (Interazione dell'utente) | Nessuna (N) | Nessun clic dell'utente finale o azione del browser richiesta |
| VC (Riservatezza del sistema vulnerabile) | Nessuno (N) | Nessuna perdita diretta di riservatezza valutata |
| VI (Integrità del sistema vulnerabile) | Nessuno (N) | Nessuna perdita diretta di integrità valutata |
| VA (Disponibilità del sistema vulnerabile) | Alta (H) | Interruzione di classe riavvio |
| SC / SI / SA | Nessuno | Nessun impatto sui sistemi successivi valutato |