### Воздействие на уязвимую систему```
Vuln Confidentiality:   [None]     Low      High
Vuln Integrity:         [None]     Low      High
Vuln Availability:      [High]     Low      None

---

## Классификация CWE

| # | CWE ID | Название | Релевантность |
|---|---|---|---|
| 1 | **CWE-617** | [Достижимое утверждение](https://cwe.mitre.org/data/definitions/617.html) | Продакшн-код содержит утверждение или фатальную проверку, достижимую через недоверенный ввод, что приводит к завершению процесса или системы |

### Почему подходит CWE-617

CWE-617 описывает ситуации, когда разработчики полагаются на утверждения для условий, которые **внешние атакующие могут принудительно вызвать**. В отличие от корректной обработки ошибок (коды возврата, санитизированные ответы), достижимое утверждение часто приводит к **внезапному завершению** — что согласуется с поведением **сбоя или перезагрузки**, описанным вендором.

---

## Предварительные условия атаки

| Предварительное условие | Обязательно? | Примечания |
|---|---|---|
| Действительные учётные данные устройства | **Нет** | Неаутентифицированная атака |
| Взаимодействие с пользователем-жертвой | **Нет** | Полностью удалённый сетевой триггер |
| Предварительная компрометация другой системы | **Нет** | Автономная эксплуатация |
| Сетевая доступность устройства | **Да** | Вектор атаки — сеть |
| Знание модели устройства | Полезно, но не строго обязательно | Сформированный пакет может быть специфичен для семейства устройств |
| Доступность из интернета | **Не обязательно**, но повышает риск | Проброс портов WAN и доступ через облачную ретрансляцию часто встречаются на практике |

**Эксплуатируется удалённо:** **Да**

---

## Сценарии эксплуатации

### Сценарий 1 — Камера, доступная из интернета

Стационарная IP-камера (IPC) имеет проброшенные порты для удалённого просмотра. Атакующий сканирует хост, отправляет сформированный пакет на открытый сервисный порт и вызывает перезагрузку. Камера отключается во время активного инцидента безопасности, создавая пробел в записи.

### Сценарий 2 — Плоский VLAN видеонаблюдения

Атакующий получает точку опоры на корпоративном ноутбуке (фишинг, устройство подрядчика и т. п.) и атакует каждый хост Dahua в VLAN видеонаблюдения. Последовательные триггеры вызывают событие «все камеры офлайн» на объекте без какой-либо аутентификации в ПО VMS.

### Сценарий 3 — Нарушение работы домофона (VTO/VTH)

Розничный магазин использует дверные станции Dahua. Атакующий, находящийся рядом с сетью (или через открытый WAN), многократно перезагружает уличную станцию в часы пик. Проверка входа и удалённое открытие двери перестают работать, что приводит к остановке работы или ручным процедурам обхода.

### Сценарий 4 — Цепная деградация физической безопасности

Перезагрузка NVR во время активного вторжения задерживает проверку тревоги и PTZ-слежение. Хотя по CVSS это не прямой CVE «нарушения целостности», **последствия для физической безопасности** могут быть серьёзными.

### Сценарий 5 — Постоянное преследование / деградация сервиса

Автоматическое повторение триггера каждые N минут препятствует стабильной работе, даже если устройство каждый раз быстро восстанавливается, — это **атака с минимальными усилиями и высокой разрушительностью**, пригодная для злоупотребления в масштабах ботнета против известных отпечатков прошивок.

---

## Оценка воздействия

### Техническое воздействие

| Область | Оценка | Детали |
|---|---|---|
| Конфиденциальность | Отсутствует (прямое) | Нет подтверждённой утечки данных только через эту уязвимость |
| Целостность | Отсутствует (прямое) | Нет подтверждённого вмешательства в конфигурацию или видеозаписи только через эту уязвимость |
| Доступность | **Высокое** | Простой на уровне перезагрузки; повторяемо |

### Бизнес-воздействие (контекстуальное)

| Сектор | Возможные последствия |
|---|---|
| Розничная торговля / Банки | Потеря видео для расследования при недостачах или мошенничестве |
| Критическая инфраструктура | Пробелы в визуальной проверке тревог |
| Жилой сектор / Малый и средний бизнес | Слепые зоны домашнего видеонаблюдения во время взломов |
| Умный город | Отключение камер наблюдения за трафиком или общественной безопасностью |
| Интеграции систем контроля доступа | Двери и домофоны недоступны в часы пик |

### Рекомендации для парка устройств

Организации с **сотнями или тысячами** конечных устройств Dahua должны учитывать:

- Среднее время восстановления после каждой перезагрузки
- Шум централизованного мониторинга при массовых отключениях
- Нарушения SLA перед клиентами управляемых сервисов
- Страховые или комплаенс-последствия для непрерывности записи

---

## Обнаружение и индикаторы компрометации

Поскольку вендор не опубликовал захваты пакетов или специфичные для CVE сигнатуры, обнаружение должно опираться на **поведенческие индикаторы**:

### Индикаторы на хосте / устройстве

- Неожиданные перезагрузки без инициированных администратором обновлений или событий, связанных с питанием
- Флаги причины загрузки, указывающие на панику ядра (kernel panic), сброс watchdog или аномальную перезагрузку
- Журналы приложений, показывающие сбои утверждений или фатальные ошибки непосредственно перед простоем
- Короткие периоды работы, коррелирующие со всплесками аномального сетевого трафика

### Сетевые индикаторы

- Всплески аномальных пакетов из одного источника или распределённые всплески, предшествующие событиям отключения устройств
- Новая сканирующая активность по ассоциированным с Dahua сервисным портам из недоверенных подсетей
- Корреляция между внешними SYN/UDP/HTTP-паттернами и временными метками перезагрузки в syslog камер/NVR

### Операционные корреляции

- Одновременное отключение нескольких устройств без отказа PoE-коммутатора
- События отключения, **не** сопровождающиеся ошибками интерфейсов коммутатора (что указывает на сбой на уровне конечного устройства)
- Повторяющиеся отключения через фиксированные интервалы (возможная автоматизированная replay-атака)

### Рекомендуемое ведение журналов

- Централизуйте **syslog** с камер, NVR и домофонов
- Сохраняйте потоки **межсетевого экрана / периметра** для сегментов, содержащих оборудование видеонаблюдения
- Настройте оповещения о событиях **массового отключения устройств** в VMS в пределах коротких временных окон

---

## Смягчение и устранение

### Основное устранение — обновление прошивки

1. Проведите инвентаризацию всех устройств Dahua с указанием модели, серийного номера и **даты сборки прошивки**.
2. Определите устройства со сборками **до 26 марта 2026 года**.
3. Загрузите одобренную вендором прошивку из [Dahua PSI Trust Center](https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi) или авторизованных каналов распространения.
4. Планируйте обновления в окно технического обслуживания; после установки патча проверьте работу записи и домофонов.
5. Повторно тестируйте внешне доступные сервисы только после подтверждения использования исправленной сборки.

### Компенсирующие меры (до установки патча)

| Мера | Цель |
|---|---|
| **Сегментация сети** | Разместите камеры/NVR в выделенных VLAN с ACL, запрещающими доступ по умолчанию |
| **Удаление проброса портов** | Устраните прямой доступ из WAN; вместо этого используйте VPN или доступ по модели zero-trust |
| **Ограничение исходных IP-адресов** | Разрешайте доступ к портам управления устройств только для VMS, jump-хостов и подсетей операторов |
| **Отключение неиспользуемых сервисов** | Сократите поверхность атаки по протоколам (отключите ненужные HTTP/ONVIF/PPPoE и т. д.) |
| **Фильтрация исходящего трафика** | Ограничьте непредвиденное поведение ретрансляции там, где это позволяет политика |
| **Физические резервные устройства / отказоустойчивость** | Для критически важных направлений поддерживайте перекрывающееся покрытие |

### Управление изменениями на уровне предприятия

- Фиксируйте версии прошивок в CMDB
- Привяжите статус установки патчей к процессам закупок и RMA
- Включите мониторинг Dahua PSI в регулярный цикл пересмотра рисков, связанных с вендором

---

## Обходные пути

Неизвестно ни одного документированного вендором **обходного пути, основанного только на конфигурации**, который полностью устранял бы уязвимость без перехода на исправленную сборку. До установки прошивки практическим обходным путём является **локализация на сетевом уровне**:

1. Заблокируйте доступ недоверенных сетей к портам управления устройств и проприетарным сервисным портам.
2. Отслеживайте повторяющиеся паттерны перезагрузок и изолируйте источники атак на периметральном межсетевом экране.
3. Где возможно, размещайте устройства за VPN-концентраторами с аутентификацией вместо прямого доступа извне.

---

## Ответ вендора

Dahua опубликовала эту проблему в рамках своей программы **Product Security Incident (PSI)**. Официальные ресурсы:

- **Trust Center / PSI:** https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi

Операторам следует рассматривать бюллетень вендора как авторитетный источник по следующим вопросам:

- Списки затронутых моделей
- Ссылки на скачивание исправленных прошивок
- Дополнительные рекомендации по усилению защиты

---

## Ссылки

| Ресурс | URL |
|---|---|
| Dahua PSI Trust Center | https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi |
| Запись NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-29116 |
| Запись CVE | https://www.cve.org/CVERecord?id=CVE-2026-29116 |
| Определение CWE-617 | https://cwe.mitre.org/data/definitions/617.html |
| Спецификация CVSS 4.0 | https://www.first.org/cvss/v4.0/specification-document |

---

## Отказ от ответственности

Этот документ представляет собой **информационный бюллетень по безопасности**, составленный на основе публично доступных метаданных CVE и заявлений вендора. Он предназначен для помощи защитникам, интеграторам и исследователям в понимании риска, связанного с **CVE-2026-29116**, и в определении приоритетов устранения уязвимости.

- Этот README **не** содержит эксплойт-код, шаблоны сформированных пакетов или пошаговые инструкции по проведению атак.
- Разделы технического анализа, помеченные как *предположительные*, являются разумными интерпретациями публичных данных, а не подтверждённым вендором раскрытием первопричины.
- Определение затронутых моделей **необходимо** сверять с официальным бюллетенем Dahua PSI и датой сборки прошивки вашего устройства.
- Авторы не несут ответственности за действия, предпринятые на основе этого документа. Устанавливайте патчи, тестируйте и разворачивайте изменения в соответствии с политиками управления изменениями вашей организации.

**Ответственное использование:** Сообщайте о дополнительных находках через каналы скоординированного раскрытия информации (PSI вендора, национальный CERT или действующие программы bug bounty, где это применимо).

---

## История изменений документа

| Версия | Дата | Изменения |
|---|---|---|
| 1.0 | 2026-07-11 | Первоначальный комплексный информационный README на основе данных публикации CVE-2026-29116 |

---

<p align="center">
  <sub>CVE-2026-29116 · Dahua Technology · CVSS 4.0 8.7 ВЫСОКИЙ · CWE-617</sub>
</p>