CVE-2024-13985 — Execução Remota de Código no capture_handle.action do Dahua EIMS

Tipo de aviso: Divulgação de segurança coordenada com o fornecedor · Exploração ativa reportada
ID CVE: CVE-2024-13985
ID CNVD: CNVD-2024-17054
Fornecedor: Zhejiang Dahua Technology Co., Ltd.
Produto: EIMS (Sistema de Gestão de Informação Empresarial)
Publicado: 2025-08-27T21:23:37 UTC
Última modificação: 2026-05-15T11:14:33 UTC
Fonte: Boletim de Suporte Dahua

Índice

• Resumo Executivo
• Num Relance
• Relação com Outras CVEs da Dahua
• Cronograma da Vulnerabilidade
• Descrição
• Análise Técnica
• Produtos Afetados
• Pontuação CVSS
• Detalhes da Pontuação da Vulnerabilidade
• Classificação CWE
• Pré-requisitos de Ataque
• Cenários de Exploração
• Avaliação de Impacto
• Descoberta de Ativos
• Detecção e Indicadores de Compromisso
• Mitigação e Correção
• Soluções Alternativas
• Resposta do Fornecedor
• Referências
• Aviso Legal
• Histórico de Revisão do Documento

Resumo Executivo

Uma vulnerabilidade crítica de execução remota de código não autenticada existe no Dahua EIMS (Sistema de Gestão de Informação Empresarial) versões anteriores a 2240008. A falha é uma injeção de comandos no endpoint HTTP capture_handle.action, onde o parâmetro captureCommand é passado a um executor de comandos do sistema operativo subjacente sem autenticação, sanitização ou validação de entrada adequada.

Qualquer atacante remoto que consiga aceder à interface web do EIMS pode enviar pedidos HTTP concebidos que injetam comandos arbitrários do sistema operativo. Esses comandos executam no contexto do servidor, permitindo comprometimento total do sistema — roubo de dados, persistência, movimento lateral, implantação de ransomware e interrupção de fluxos de trabalho de segurança física dependentes.

A vulnerabilidade recebe a pontuação base máxima de CVSS 4.0 de 10.0 (CRÍTICA) com impacto Alto na confidencialidade, integridade e disponibilidade, tanto no sistema vulnerável como em sistemas subsequentes (VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). Foram observadas evidências de exploração em ambiente real.

O EIMS é uma plataforma empresarial de back-end, não uma câmara IPC de campo. O comprometimento geralmente afeta a gestão central, integrações de controlo de acesso e dados organizacionais, em vez de um único sensor. Trate instâncias EIMS expostas à Internet ou acessíveis via VLAN como prioridade de patch de emergência.

Num Relance

Relação com Outras CVEs da Dahua

Este repositório também documenta avisos de dispositivos de campo do lote PSI de 2026 da Dahua. O CVE-2024-13985 é uma linha de produtos separada com perfil de gravidade muito mais elevado.

Conclusão para defensores: Corrigir câmaras não corrige o EIMS. Faça inventário de servidores de aplicações que executam software empresarial Dahua de forma independente.

Cronograma da Vulnerabilidade

Descrição

O EIMS da Dahua oferece capacidades de gestão de informação ao nível empresarial, utilizadas em implementações integradas de segurança e gestão de edifícios. Um servlet ou manipulador de ação virado para a rede, exposto em capture_handle.action, aceita um parâmetro chamado captureCommand.

Modo de Falha

A aplicação trata captureCommand como entrada para um comando do sistema operativo anfitrião (diretamente ou através de um wrapper de shell) sem:

• Exigir uma sessão autenticada
• Validar conjuntos de caracteres permitidos ou vocabulário de comandos
• Escapar metacaracteres de shell
• Utilizar APIs seguras (ex.: invocação de processo parametrizado com executável fixo e array de argumentos)

Um atacante não autenticado submete pedidos HTTP concebidos que contêm payloads de injeção de comandos em captureCommand. O servidor executa comandos do SO controlados pelo atacante com os privilégios do processo da aplicação EIMS — normalmente, uma conta de serviço privilegiada em anfitriões Windows ou Linux.

Consequências

A exploração bem-sucedida leva a:

Análise Técnica

Endpoint e Parâmetro

O sufixo .action é característico de Apache Struts2 ou frameworks MVC estilo Struts, comumente usados em aplicações web Java empresariais. Embora o boletim do fornecedor descreva injeção de comandos em vez de nomear o framework, os defensores devem inspecionar as implementações EIMS para contentores web Java (Tomcat, etc.) e proxies reversos que encaminham para esse endpoint.

CWE-78 — Mecanismos de Injeção de Comandos do SO

CWE-78 ocorre quando o código da aplicação concatena entrada não confiável em comandos interpretados por /bin/sh, cmd.exe ou equivalente:```

Conceptual vulnerable pattern (pseudocode — not vendor source)

Runtime.exec("capture-tool " + captureCommand);

or

ProcessBuilder("sh", "-c", "capture-tool " + captureCommand);

Shell metacharacters (`;`, `|`, `&`, `` ` ``, `$()`, `&&`, `||`, newlines) permitem **terminação de comandos** e **comandos secundários arbitrários**.

### Por que o CVSS 10.0 é Justificado

Cada métrica de impacto do CVSS 4.0 no vetor publicado é **Alta**, incluindo impactos em **sistemas subsequentes**:

| Property | Value | Implication |
|---|---|---|
| `AV:N` | Rede | Exploração via WAN possível |
| `AC:L` | Baixa complexidade | Requisição HTTP única e maliciosa |
| `AT:N` | Nenhum requisito especial de ataque | Implantação padrão explorável |
| `PR:N` | Nenhum privilégio | Nenhuma conta necessária |
| `UI:N` | Nenhuma interação do usuário | Exploração totalmente automatizada |
| `VC/VI/VA:H` | CIA completo no host EIMS | Comprometimento completo |
| `SC/SI/SA:H` | Sistemas subsequentes Alto | EIMS é um hub central de integração |

Esta está entre as pontuações publicadas mais severas possíveis sob o CVSS 4.0.

### Contexto da Arquitetura EIMS (Operacional)

O EIMS normalmente fica **centralizado** na arquitetura de segurança:```
[Internet / WAN] ──?──> [EIMS Application Server]
                              │
              ┌───────────────┼───────────────┐
              ▼               ▼               ▼
         [Directory]    [Access DB]     [Device APIs]
              │               │               │
              └───────────────┴───────────────┘
                              │
                    [Cameras / Doors / Alarms]

Comprometer a camada EIMS é arquiteturalmente pior do que comprometer um único IPC — é uma violação do plano de controle.

Ecossistema de Exploração Pública

Várias fontes públicas referenciam esta falha (ver Referências):

• Boletim do fornecedor em support.dahuatech.com
• Entradas CNVD e NVD
• Artigos da comunidade (cn-sec.com, CSDN)
• Templates de scanners (Nuclei, Pentest-Tools, VulnCheck, S4E)

A presença de assinaturas de scanner e exploração ativa significa que a exploração oportunista em massa é uma ameaça realista imediata, não uma preocupação teórica de pesquisa.

Produtos Afetados

Resumo por Fornecedor

Totais: 1 fornecedor afetado · 1 produto afetado (EIMS)

Versão Corrigida

Identificação de Versão

Os operadores devem registar:

1. Versão de construção ou pacote do EIMS a partir da IU de administração ou manifesto do instalador
2. Nível de patch instalado a partir dos direitos do portal de suporte Dahua
3. SO anfitrião e topologia de implantação (autónomo vs. agrupado)

Se a enumeração de versão não estiver disponível, assumir como vulnerável até confirmação de correção.

O que o EIMS Não É

Pontuação CVSS

Resumo

Detalhamento das Métricas CVSS 4.0

Interpretação da Gravidade Máxima

Uma pontuação 10.0 no CVSS 4.0 indica que nenhuma métrica compensatória reduz a urgência. A aplicação de patches, o isolamento ou a remoção de redes não confiáveis devem ser tratados como P0 / emergência.

Detalhes da Pontuação da Vulnerabilidade

Resumo visual das posições dos seletores CVSS 4.0 publicados:

Características de Exploração```

Attack Vector: [Network] Adjacent Local Physical Attack Complexity: [Low] High Attack Requirements: [None] Present Privileges Required: [None] Low High User Interaction: [None] Passive Active

### Impacto no Sistema Vulnerável```
Vuln Confidentiality:     None     Low      [High]
Vuln Integrity:           None     Low      [High]
Vuln Availability:        None     Low      [High]

Impacto no sistema subsequente```

Subseq Confidentiality: None Low [High] Subseq Integrity: None Low [High] Subseq Availability: None Low [High]

---

## Classificação CWE

| # | ID CWE | Nome | Relevância |
|---|---|---|---|
| 1 | **CWE-78** | [Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')](https://cwe.mitre.org/data/definitions/78.html) | `captureCommand` passado para execução de comando do SO sem neutralização |

### Fraquezas Relacionadas (Contextuais)

| CWE | Nome | Relação |
|---|---|---|
| CWE-77 | Command Injection (genérico) | Categoria pai |
| CWE-306 | Missing Authentication for Critical Function | Atingibilidade não autenticada do manipulador perigoso |
| CWE-20 | Improper Input Validation | Falha raiz de validação |
| CWE-434 | Unrestricted Upload | Possível consequência pós-exploração, não núcleo do CVE |

---

## Pré-requisitos de Ataque

| Pré-requisito | Obrigatório? | Notas |
|---|---|---|
| Credenciais EIMS válidas | **Não** | Não autenticado |
| Interação do usuário vítima | **Não** | Requisição HTTP única suficiente |
| Comprometimento prévio | **Não** | Exploração independente |
| Acessibilidade de rede ao EIMS HTTP(S) | **Sim** | `capture_handle.action` acessível |
| Versão vulnerável (`< 2240008`) | **Sim** | Versões corrigidas não afetadas |
| Exposição à internet | **Não obrigatório** | Instâncias acessíveis via LAN/WAN/VPN igualmente em risco |

**Explorável Remotamente:** **Sim**

---

## Cenários de Exploração

### Cenário 1 — EIMS Exposto à Internet (Shodan / ZoomEye)

Atacantes enumeram hosts `app="Dahua EIMS"` em motores de varredura da internet, entregam injeção de comando em `capture_handle.action`, implantam webshell ou reverse shell e exfiltram bancos de dados de segurança corporativos.

### Cenário 2 — Campanha em Massa de Operador de Ransomware

Scanners automatizados identificam instâncias vulneráveis. Atacantes criptografam o host EIMS e os compartilhamentos de arquivos conectados, exigindo resgate enquanto os controles de acesso físico e as integrações de gestão de visitantes estão offline.

### Cenário 3 — Movimento Lateral a partir de Violação de Perímetro

Um atacante compromete um servidor web DMZ, faz pivô para uma instância EIMS internamente acessível em uma VLAN de gerenciamento compartilhada e usa credenciais/chaves de API do EIMS armazenadas no host para interagir com controladores de porta e câmeras downstream.

### Cenário 4 — Espionagem Sem Insiders

Atores estatais ou criminosos exfiltram silenciosamente logs de acesso de pessoal, registros de visitantes e mapas de edifícios sem reiniciar serviços — mantendo persistência de longo prazo via backdoors em cron/systemd.

### Cenário 5 — Cadeia de Suprimentos / MSP Integrador

Um provedor de serviços gerenciados hospeda uma instância EIMS para dezenas de clientes. Um único comprometimento afeta **todos os inquilinos** naquele servidor — uma falha catastrófica concentrada.

---

## Avaliação de Impacto

### Impacto Técnico

| Domínio | Classificação | Detalhe |
|---|---|---|
| Confidencialidade | **Alto** | Acesso total de leitura ao sistema de arquivos e banco de dados típico |
| Integridade | **Alto** | Escrita arbitrária de arquivos, adulteração de configuração, backdoors |
| Disponibilidade | **Alto** | Matar processo, apagar dados, ransomware |
| Sistemas subsequentes | **Alto** | Credenciais de integração permitem abuso downstream |

### Impacto nos Negócios

| Setor | Consequência |
|---|---|
| **Campi corporativos** | Bypass de controle de acesso, vazamento de dados de visitantes |
| **Governo/infraestrutura crítica** | Violação do plano de controle em toda a segurança física |
| **Saúde** | Exposição de logs de acesso relevantes para HIPAA |
| **Educação** | Manipulação do sistema de segurança de alunos/funcionários |
| **Integradores / MSPs** | Violação de múltiplos clientes a partir de um host |

### Exposição Regulatória e Legal

O comprometimento do EIMS pode desencadear:

- Obrigações de notificação de violação (GDPR, leis de privacidade estaduais, etc.)
- Relatórios de infraestrutura crítica em setores regulados
- Penalidades contratuais de SLA com clientes de segurança física

---

## Descoberta de Ativos

### Consulta no ZoomEye

| Plataforma | Consulta | Link |
|---|---|---|
| **ZoomEye** | `app="Dahua EIMS"` | [Pesquisar no ZoomEye](https://www.zoomeye.ai/searchResult?q=YXBwPSJEYWh1YSBFSU1TIg==) |

### Inventário Defensivo (Somente Autorizado)

| Método | Ação |
|---|---|
| **Registros de CMDB / licenças** | Listar todas as instalações e versões do EIMS |
| **Inventário de VMs** | Pesquisar por pacotes Dahua EIMS em servidores de aplicação |
| **Configurações de proxy reverso** | Identificar upstreams roteando para `capture_handle.action` |
| **Scanners de vulnerabilidade** | Executar verificações aprovadas pelo fornecedor usando assinaturas publicadas |
| **Superfície de ataque na internet** | Comparar resultados do ZoomEye com IPs públicos próprios |

> Escaneie apenas ativos que você possui ou está explicitamente autorizado a testar.

---

## Detecção e Indicadores de Comprometimento

### Indicadores de Rede

- HTTP `GET`/`POST` para **`/capture_handle.action`** ou correspondência de sufixo de caminho
- Requisições contendo **`captureCommand=`** com metacaracteres de shell ou equivalentes codificados (`%3B`, `%7C`, `%26`, `%24`, `` %60 ``, `%0A`)
- Aumento em respostas **4xx/5xx** seguido por **novas conexões de saída** do host EIMS
- Consultas **DNS** inesperadas ou **beaconing** do servidor de aplicação após HTTP anômalo

### Indicadores de Host

- Novos **cron jobs**, **tarefas agendadas** ou **unidades systemd** no servidor EIMS
- **Web shells** inesperados em diretórios Tomcat/webapp
- **Novos usuários locais** ou modificações em **authorized_keys do SSH**
- Processo **java** ou **tomcat** gerando `/bin/sh`, `cmd.exe`, `powershell`, `bash`
- Alertas de antivírus/EDR no host EIMS correlacionados com logs de acesso web

### Padrões de Log de Aplicação

- Acesso a `capture_handle.action` de **IPs de origem desconhecidos**
- Requisições idênticas de **alta frequência** (comportamento de scanner)
- Erros em utilitários de wrapper de comando imediatamente após valores suspeitos de `captureCommand`

### Feeds de Inteligência de Ameaças

Monitore por:

- Assinaturas CNVD-2024-17054 / CVE-2024-13985
- Correspondências de template Nuclei (templates públicos existem — use para varredura **autorizada**)
- Regras de SIEM marcando tentativas de exploração do Dahua EIMS

### Consultas de Emergência Recomendadas (SIEM)```
# Example patterns — adapt to your log schema
url:"capture_handle.action" AND captureCommand:*
url:"capture_handle.action" AND (captureCommand:*;* OR captureCommand:*|* OR captureCommand:*&*)

Mitigação e Remediação

Remediação Primária — Atualizar para 2240008+

1. Inventarie todas as implementações EIMS e registre as versões.
2. Atualize imediatamente para a versão 2240008 ou superior a partir do Boletim de Suporte Dahua.
3. Verifique o sucesso do patch através da string de versão e ausência de comportamento explorável em testes de regressão autorizados.
4. Rotacione todas as credenciais armazenadas ou acessíveis a partir do host EIMS (banco de dados, chaves de API, contas de serviço, senhas de integração).

Contenção de Emergência (Se a Aplicação do Patch For Atrasada)

Recuperação Pós-Comprometimento

Se exploração for suspeita:

1. Isole o host da rede
2. Preserve imagens forenses antes de reconstruir
3. Reconstrua a partir de mídia conhecida como limpa (não apenas "limpeza" no local)
4. Rotacione todos os segredos da empresa que estavam acessíveis a partir do EIMS
5. Revise as configurações de dispositivos downstream para alterações não autorizadas
6. Relate conforme os requisitos organizacionais de RI e regulatórios

Fortalecimento de Implantação Segura (Longo Prazo)

Soluções Alternativas

Nenhuma solução alternativa permanente sancionada pelo fornecedor substitui a atualização para 2240008+. Medidas provisórias:

1. Bloqueie o acesso externo a capture_handle.action no proxy reverso/WAF.
2. Isole o EIMS de redes não confiáveis até que seja corrigido.
3. Desabilite a camada web do EIMS se a continuidade dos negócios permitir o uso temporário de caminhos de gerenciamento alternativos.

Estes são controles provisórios; o código vulnerável permanece explorável por qualquer pessoa que possa alcançar o endpoint.

Resposta do Fornecedor

A Dahua publicou um boletim de segurança através do seu portal de suporte:

• Boletim: https://support.dahuatech.com/bulletin/info?IsDpValue=APKncD%2FB

Obtenha instaladores corrigidos, notas de versão e quaisquer orientações provisórias desse boletim ou canais autorizados de suporte Dahua.

Referências

Aviso Legal

Este documento é um aviso de segurança informativo compilado a partir de metadados CVE publicamente disponíveis, boletins de fornecedores e relatórios do setor. Destina-se a ajudar defensores a entender e priorizar a remediação para CVE-2024-13985.

• Este README não fornece código de exploração armado, payloads de injeção copiáveis ou tutoriais passo a passo de comprometimento.
• A análise técnica do comportamento do framework é inferida onde o código-fonte do fornecedor não está disponível.
• Links de pesquisa de ativos são para inventário autorizado da sua própria superfície de ataque.
• Aplique patches e medidas de contenção através dos procedimentos de mudança e resposta a incidentes da sua organização.
• Os autores não se responsabilizam por ações tomadas com base neste documento.

Uso responsável: Teste apenas sistemas que você possui ou está autorizado a avaliar. Relate exploração ativa aos CERTs nacionais e ao suporte Dahua conforme apropriado.

Histórico de Revisão do Documento

_{CVE-2024-13985 · Dahua EIMS · CVSS 4.0 10.0 CRÍTICO · CWE-78 · capture_handle.action}