### Влияние на уязвимую систему```
Vuln Confidentiality:   [None]     Low      High
Vuln Integrity:         [None]     Low      High
Vuln Availability:      [High]     Low      None

## Классификация CWE

| # | Идентификатор CWE | Название | Актуальность |
|---|---|---|---|
| 1 | **CWE-617** | [Reachable Assertion](https://cwe.mitre.org/data/definitions/617.html) | Недоверенный ввод достигает фатального утверждения или пути прерывания в привилегированном коде |

### CWE-617 в аутентифицированных контекстах

Уязвимости с аутентификацией часто отвергаются как «только инсайдеры». В сетях видеонаблюдения:

- Учетные записи интеграторов используются на нескольких сайтах клиентов
- Серверы VMS хранят пароли устройств централизованно
- Учетные данные по умолчанию сохраняются годами на изолированных VLAN
- Бывшие сотрудники сохраняют административный доступ при отсутствии ротации

Таким образом, достижимое утверждение за **аутентифицированной плоскостью управления** по-прежнему представляет собой **существенный риск**, особенно в сочетании с повторным использованием учетных данных.

### Переполнение буфера против CWE-617

Если основной дефект связан с повреждением памяти, CWE-617 может отражать **наблюдаемое поведение в производстве** (фатальное прерывание), а не полную таксономию слабостей. Защитникам следует устанавливать исправления независимо от наименования индекса.

---

## Предварительные условия атаки

| Предварительное условие | Обязательно? | Примечания |
|---|---|---|
| **Высокопривилегированные учетные данные устройства** | **Да** | `PR:H` — доступ уровня администратора (зависит от продукта) |
| Взаимодействие с пользователем-жертвой | Нет | Не требуется фишинг или действия в браузере |
| Достижимость сети | Да | Доступен порт управления или аутентифицированного сервиса |
| Предварительная компрометация другой системы | Полезно, не обязательно | Украденные учетные данные из VMS подходят |
| Доступ в интернет | Не требуется | Повышает возможность удаленной эксплуатации |
| Знание модели цели | Полезно | Сформированный пакет может зависеть от модели/прошивки |

**Возможна удаленная эксплуатация:** **Да** (при наличии учетных данных и сетевого пути)

---

## Сценарии эксплуатации

### Сценарий 1 — Недовольный инсайдер

Техник с административными учетными данными для всех камер объекта отправляет сформированные пакеты на конечные точки IPC в нерабочее время, многократно перезагружая критические зоны покрытия.

### Сценарий 2 — Кража хранилища паролей VMS

Злоумышленник выгружает базу данных паролей камер из скомпрометированного хоста Milestone / Genetec / пользовательской VMS. Он удаленно перезагружает все камеры Dahua IPC в WAN клиента без дальнейшего повышения привилегий.

### Сценарий 3 — Проход по учетным данным по умолчанию

Злоумышленник аутентифицируется с заводскими настройками по умолчанию (admin / известные списки паролей) на камерах, доступных через интернет, затем запускает циклы перезагрузки, чтобы мешать или ослепить мониторинг во время физического вторжения в другом месте объекта.

### Сценарий 4 — Саботаж SD PTZ во время активного слежения

Скоростной купол на стадионе отслеживает событие безопасности. Аутентифицированный сформированный ввод перезагружает блок SD, теряя активное слежение PTZ и предустановленные позиции в критический момент.

### Сценарий 5 — Латеральный шум после первоначальной компрометации

После фишинга на ноутбуке установщика злоумышленник использует сохраненные учетные данные для нарушения работы камер — ухудшая судебный захват, пока отдельная команда осуществляет физическое проникновение.

---

## Оценка воздействия

### Техническое воздействие

| Область | Оценка | Детали |
|---|---|---|
| Конфиденциальность | Нет (прямое) | Не оценивается в опубликованном векторе |
| Целостность | Нет (прямое) | Не оценивается в опубликованном векторе |
| Доступность | **Высокое** | Неожиданная перезагрузка; повторяемо |

### Бизнес-воздействие (контекстуальное)

| Сектор | Потенциальное последствие |
|---|---|
| Розничная торговля | Слепые зоны во время событий потерь |
| Транспорт | Пробелы в камерах на платформах / в залах |
| Критическая инфраструктура | Потери слежения PTZ по периметру |
| Корпоративные кампусы | Пропадание покрытия парковок и входов |

### Барьер аутентификации против реального риска

| Среда | Практический уровень риска |
|---|---|
| Сильные уникальные учетные данные + отсутствие доступа в WAN | Низкий — злоумышленник должен сначала преодолеть аутентификацию |
| Общий пароль интегратора на 500 камерах | **Высокий** — один секрет позволяет массовый DoS |
| Проброс порта в интернет с администратором по умолчанию | **Высокий** — напоминает практический риск без аутентификации |
| Изолированная LAN, строгие ACL | Умеренный — зависит от инсайдера или латерального перемещения |

---

## Обнаружение и индикаторы компрометации

Нет документированной открытой сигнатуры пакетов. Сосредоточьтесь на **злоупотреблении аутентифицированными сеансами**, коррелируемом с **событиями перезагрузки**.

### Индикаторы хоста/устройства

- Неожиданные перезагрузки после аутентифицированных сеансов управления с необычных исходных IP
- Сообщения о фатальной ошибке или утверждении в журналах устройства непосредственно перед перезагрузкой
- Короткое время работы после активности API администратора
- Потеря флагов калибровки PTZ на блоках SD после незапланированной перезагрузки

### Индикаторы аутентификации

- Успешные входы администратора из географических местоположений или подсетей, не используемых операторами
- Всплеск аутентифицированных вызовов API с одной учетной записи на множество камер
- Сеансы конфигурации в нерабочее время без заявок на изменения
- Использование устаревших учетных записей интеграторов, которые считались выведенными из эксплуатации

### Сетевые индикаторы

- Трафик портов управления (HTTP/S, проприетарные порты SDK) непосредственно перед событиями отключения
- Повторяющиеся одинаковые размеры полезной нагрузки или аномальные шаблоны запросов после входа
- Корреляция между исходящим IP VPN и временными метками перезагрузки в системном журнале камеры

### Рекомендуемые действия

- Включите **syslog** на устройствах IPC/SD для централизованной SIEM
- Создайте оповещение о **массовом отключении** от VMS в течение коротких интервалов
- Сопоставляйте **журналы аутентификации** с **событиями перезагрузки watchdog**
- Проведите аудит учетных записей с **административными** привилегиями; удалите неиспользуемые логины интеграторов

---

## Смягчение и устранение

### Основное устранение — обновление прошивки

1. Проведите инвентаризацию всех устройств Dahua **IPC и SD** с указанием модели, серийного номера и даты сборки прошивки.
2. Помечайте устройства со сборками **до 26 марта 2026 года**.
3. Получите исправленную прошивку из [Центра доверия Dahua PSI](https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi).
4. Обновляйте в окна технического обслуживания; проверяйте потоки, предустановки PTZ и аналитику после перезагрузки.
5. Подтвердите дату сборки в интерфейсе устройства или через ONVIF/SDK запрос после установки исправления.

### Гигиена учетных данных (критично для дефектов PR:H)

| Действие | Обоснование |
|---|---|
| **Смените все пароли администратора камер** | Нейтрализует украденные учетные данные из старых экспортов VMS |
| **Уникальный пароль для каждого устройства** | Ограничивает радиус поражения одного утекшего секрета |
| **Отключите неиспользуемые учетные записи** | Удаляет неактивные бэкдоры интеграторов |
| **Применяйте строгую политику паролей** | Уменьшает угадывание учетных данных по умолчанию |
| **Переходите на централизованную аутентификацию** где поддерживается | Улучшает возможность аудита и отзыва |

### Сетевые средства контроля

| Средство контроля | Цель |
|---|---|
| **Сегментируйте камеры на выделенных VLAN** | Сдерживание латерального перемещения |
| **Ограничьте порты управления по исходному IP** | Только VMS и хост-переходники могут аутентифицироваться |
| **Устраните прямой проброс портов WAN** | Принудительный доступ через VPN или с нулевым доверием |
| **Отключите неиспользуемые службы** | Сокращение аутентифицированной поверхности атаки |
| **Мониторинг доступа к API администратора** | Обнаружение злоупотреблений до повторных перезагрузок |

### Координированное исправление с CVE-2026-29116

На инфраструктуре IPC/SD применяйте прошивку, которая устраняет **обе** уязвимости: CVE-2026-29115 и [CVE-2026-29116](https://github.com/crimsonfiedofficial/cve-2026-29115/blob/CVE-2026-29116/README.md). Проблема без аутентификации строго хуже с точки зрения подверженности; проблемы с аутентификацией остаются опасными там, где секреты слабы.

---

## Обходные меры

Не документировано обходное решение только за счет конфигурации, полностью устраняющее уязвимость без обновления прошивки. До установки исправления:

1. **Смените и усилите учетные данные** — уменьшает количество тех, кто может выполнить `PR:H`.
2. **Ограничьте доступ к управлению** только доверенными подсетями и VPN.
3. **Отслеживайте циклы перезагрузок** и блокируйте источники нарушений на брандмауэре.
4. **Отключите удаленного администратора** на камерах, которым требуется только исходящая облачная/P2P-связь (зависит от архитектуры).

---

## Ответ вендора

Dahua опубликовала эту проблему через свою программу **Product Security Incident (PSI)**:

- **Центр доверия / PSI:** https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi

Обратитесь к бюллетеню вендора для получения:

- Списков затронутых моделей IPC/SD
- Исправленных образов прошивки и примечаний к выпуску
- Любых дополнительных рекомендаций по защите

---

## Ссылки

| Ресурс | URL |
|---|---|
| Центр доверия Dahua PSI | https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi |
| Запись NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-29115 |
| Запись CVE | https://www.cve.org/CVERecord?id=CVE-2026-29115 |
| Связанная: CVE-2026-29116 | https://www.cve.org/CVERecord?id=CVE-2026-29116 |
| Определение CWE-617 | https://cwe.mitre.org/data/definitions/617.html |
| Спецификация CVSS 4.0 | https://www.first.org/cvss/v4.0/specification-document |

---

## Отказ от ответственности

Этот документ представляет собой **информационное уведомление безопасности**, составленное на основе общедоступных метаданных CVE и заявлений вендора. Он предназначен для помощи защитникам, интеграторам и исследователям в понимании риска **CVE-2026-29115** и приоритизации устранения.

- Этот README **не предоставляет** код эксплойта, шаблоны сформированных пакетов или рецепты атак.
- Предполагаемый технический анализ не является раскрытием основной причины, подтвержденным вендором.
- Применимость моделей и прошивок **должна** быть проверена в соответствии с официальными рекомендациями Dahua PSI.
- Авторы не несут ответственности за действия, предпринятые на основе этого документа.

**Ответственное использование:** Сообщайте о дополнительных находках через скоординированное раскрытие (PSI вендора, CERT или авторизованные программы bug bounty).

---

## История изменений документа

| Версия | Дата | Изменения |
|---|---|---|
| 1.0 | 2026-07-11 | Первый комплексный информационный README на основе данных публикации CVE-2026-29115 |

---

<p align="center">
  <sub>CVE-2026-29115 · Dahua Technology · CVSS 4.0 6.9 MEDIUM · CWE-617 · IPC / SD</sub>
</p>