CVE-2026-29116 — Dahua: неаутентифицированная удалённая атака типа «отказ в обслуживании»

Тип уведомления: скоординированное с производителем раскрытие информации
CVE ID: CVE-2026-29116
Производитель: Dahua Technology
Опубликовано: 2026-06-10T06:16:34 UTC
Изменено: 2026-06-10T06:16:34 UTC
Источник: Центр доверия Dahua по инцидентам безопасности продукции (PSI)

Содержание

Краткий обзор
Краткая сводка
Хронология уязвимости
Описание
Технический анализ
Затронутые продукты
Оценка CVSS
Детали оценки уязвимости
Классификация CWE
Предпосылки атаки
Сценарии эксплуатации
Оценка воздействия
Обнаружение и индикаторы компрометации
Смягчение и устранение
Обходные меры
Ответ производителя
Ссылки
Дисклеймер
История изменений документа

Краткий обзор

Уязвимость высокой степени серьёзности — неаутентифицированная удалённая атака типа «отказ в обслуживании» — обнаружена в нескольких линейках продуктов Dahua для систем безопасности и видеонаблюдения. Злоумышленник в сети — включая публичный интернет, если устройства доступны извне — может отправить специально сформированный сетевой пакет на уязвимое устройство. Обработка такого пакета вызывает необработанное исключение (соответствующее достижимому утверждению или фатальному пути ошибки), в результате чего устройство неожиданно перезагружается.

Поскольку учётные данные не требуются, а сложность атаки низкая, эту уязвимость легко эксплуатировать в массовом масштабе. Повторная эксплуатация может вызывать продолжительные сбои в работе камер, видеорегистраторов, домофонных устройств и связанной инфраструктуры. Хотя дефект не приводит напрямую к компрометации конфиденциальности или целостности хранимых данных, воздействие на доступность оценивается как высокое, что даёт базовую оценку CVSS 4.0 — 8.7 (ВЫСОКИЙ).

Организациям, эксплуатирующим оборудование Dahua IPC, SD, NVR, XVR, EVS, VTO, VTH, ASI или TPC с версиями прошивок до 26 марта 2026 года, следует рассматривать установку обновлений или изоляцию от сети как приоритетную задачу.

Примечание о маркировке уведомления: некоторые сторонние каталоги указывают этот CVE под названием «Межсайтовый скриптинг (XSS)». Официальное описание, вектор CVSS (VA:H без воздействия на конфиденциальность и целостность) и классификация CWE-617 соответствуют неаутентифицированному сетевому сбою/перезагрузке (DoS), а не браузерному XSS. Данный документ следует описанию производителя и оценочным данным.

Краткая сводка

Поле	Значение
CVE ID	CVE-2026-29116
Производитель	Dahua Technology
Тип уязвимости	Отказ в обслуживании (неожиданная перезагрузка)
Вектор атаки	Сетевой
Требуется аутентификация	Нет
Требуется взаимодействие с пользователем	Нет
Требуемые привилегии	Отсутствуют
Версия CVSS	4.0
Базовая оценка CVSS	8.7 — ВЫСОКИЙ
Вектор CVSS	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`
CWE	CWE-617 (достижимое утверждение)
Удалённая эксплуатация	Да
Дата публикации	2026-06-10
Наличие исправления	Прошивки от 26 марта 2026 года и новее (согласно рекомендациям производителя)

Хронология уязвимости

Дата	Событие
≤ 2026-03-26	Уязвимые сборки прошивок находятся в активном распространении
2026-03-26	Точка отсечения исправления производителя — сборки, выпущенные с этой даты или позже, выходят за пределы затрагиваемого диапазона (согласно уведомлению)
2026-06-10T06:16:34 UTC	Опубликован CVE-2026-29116
2026-06-10T06:16:34 UTC	Запись NVD изменена в последний раз
2026-06-10	Опубликовано уведомление PSI центра доверия Dahua
Продолжается	Операторам следует провести инвентаризацию, обновить и сегментировать затронутое оборудование

Описание

Компания Dahua сообщила об уязвимости, затрагивающей часть продуктов из портфеля систем видеонаблюдения и контроля доступа. Дефект находится в программном обеспечении, работающем с сетью, которое обрабатывает входящий трафик без надлежащей проверки и безопасной обработки некорректного или вредоносного ввода.

Наблюдаемое поведение:

Неаутентифицированный удалённый злоумышленник передаёт специально сформированный пакет на уязвимое устройство по сети.
Сетевой сервис или внутренний обработчик устройства обрабатывает пакет и попадает в исключительный путь выполнения — например, неудачное утверждение, необработанный сбой или неустранимую внутреннюю ошибку, соответствующую CWE-617 (достижимое утверждение).
Исключение распространяется таким образом, что вызывает неожиданную перезагрузку системы.
Устройство недоступно до завершения цикла перезагрузки. При повторных атаках устройство может оставаться в состоянии постоянного отказа в обслуживании.

Чем эта уязвимость не является (согласно метрикам CVSS):

Она не требует, чтобы жертва открыла веб-страницу или перешла по ссылке (UI:N).
Она не требует учётных данных злоумышленника (PR:N).
Она не демонстрирует прямого воздействия на конфиденциальность или целостность уязвимого компонента (VC:N, VI:N).
Она не показывает влияния на последующие системы в опубликованном векторе (SC:N, SI:N, SA:N).

Основной риск — потеря доступности: камеры перестают передавать видео, регистраторы прекращают запись, домофоны отключаются, а автоматизированные процессы, зависящие от этих устройств, выходят из строя.

Технический анализ

Корневая причина (предположительно)

В публичных материалах производителя не раскрывается точная функция или конечная точка протокола. Исходя из опубликованного CWE и наблюдаемого поведения, наиболее вероятные категории корневой причины:

Категория	Пояснение
Достижимое утверждение	Отладочное или контрольное `assert()` (или эквивалент) остаётся включённым в рабочей прошивке и может быть активировано некорректным вводом.
Необработанное фатальное исключение	Парсер или конечный автомат сеанса вызывает сбой при неожиданных значениях полей, длинах или состояниях протокола.
Некорректная обработка ресурсов или границ	Сформированный пакет вызывает выход за границы или недопустимую операцию с памятью, обнаруженную во время выполнения, что приводит к завершению процесса или пути ядра.

Любая из перечисленных причин может привести к полной перезагрузке устройства, если сбой происходит в критическом демоне, главном супервизоре приложения или компоненте, близком к ядру, без корректного восстановления.

CVE-2026-29116

Популярное