### 对脆弱系统的影响```
Vuln Confidentiality:   [None]     Low      High
Vuln Integrity:         [None]     Low      High
Vuln Availability:      [High]     Low      None

## CWE 分类

| # | CWE ID | 名称 | 相关性 |
|---|---|---|---|
| 1 | **CWE-617** | [可达断言](https://cwe.mitre.org/data/definitions/617.html) | 生产代码暴露了可由不可信输入触发的断言或致命检查，导致进程或系统终止 |

### 为何符合 CWE-617

CWE-617 描述了开发人员依赖断言来处理**外部攻击者能够强制**发生的情况。与优雅的错误处理（返回码、清理后的响应）不同，可达断言通常会导致**突然终止**——这与厂商描述的**崩溃或重启**行为一致。

---

## 攻击前提条件

| 前提条件 | 是否需要？ | 说明 |
|---|---|---|
| 有效设备凭据 | **否** | 未经身份验证的攻击 |
| 受害用户交互 | **否** | 完全远程网络触发 |
| 预先攻陷另一个系统 | **否** | 独立利用 |
| 网络可达设备 | **是** | 攻击向量为网络 |
| 了解设备型号 | 有助但非必需 | 精心构造的数据包可能针对特定产品系列 |
| 互联网暴露 | **非必需，但增加风险** | WAN 端口转发和云中继暴露在实践中很常见 |

**可远程利用：** **是**

---

## 利用场景

### 场景 1 — 互联网暴露的摄像头

固定 IPC 为远程观看进行了端口转发。攻击者扫描主机，向开放的服务端口发送精心构造的数据包，强制重启。摄像头在活跃的安全事件期间掉线，造成录像空白。

### 场景 2 — 扁平 CCTV VLAN

攻击者攻陷企业笔记本电脑（通过钓鱼、承包商设备等）并针对监控 VLAN 上的每个大华主机。顺序触发导致全站“所有摄像头离线”事件，而无需向 VMS 软件进行任何身份验证。

### 场景 3 — 对讲中断 (VTO/VTH)

零售商店使用大华门禁对讲。攻击者靠近网络（或通过暴露的 WAN）在高峰时段反复重启室外机。入口验证和远程开门失败，导致运营中断或人工绕过流程。

### 场景 4 — 连锁物理安全降级

在入侵活跃期间 NVR 重启会延迟警报验证和 PTZ 跟踪。虽然 CVSS 并非直接的“完整性” CVE，但**物理安全后果**可能很严重。

### 场景 5 — 持续骚扰 / 服务降级

每几分钟自动重放触发，即使设备每次能快速恢复，也会阻止稳定运行——一种**低投入、高破坏性**的攻击，适合针对已知固件指纹的僵尸网络规模滥用。

---

## 影响评估

### 技术影响

| 领域 | 评级 | 详情 |
|---|---|---|
| 机密性 | 无（直接） | 单一漏洞未证实可导致数据泄露 |
| 完整性 | 无（直接） | 单一漏洞未证实可导致配置或录像篡改 |
| 可用性 | **高** | 重启级中断；可重复触发 |

### 业务影响（上下文相关）

| 行业 | 潜在后果 |
|---|---|
| 零售 / 银行业 | 在损耗或欺诈事件中丢失取证录像 |
| 关键基础设施 | 警报视觉验证出现缺口 |
| 住宅 / 中小企业 | 入室盗窃期间家庭监控盲区 |
| 智慧城市 | 交通或公共安全摄像头掉线 |
| 访问控制集成 | 高峰时段门禁和对讲不可用 |

### 全舰队考虑

拥有**数百或数千**个大华终端的组织应建模：

- 每次重启的平均恢复时间
- 大规模中断期间中央监控的噪音
- 托管服务客户的 SLA 违规
- 记录连续性的保险或合规影响

---

## 检测与入侵指标

由于厂商尚未发布数据包捕获或特定 CVE 签名，检测应侧重于**行为指标**：

### 主机 / 设备指标

- 非管理员发起的升级或电源事件导致的意外重启
- 涉及内核恐慌、看门狗复位或异常重启的启动原因标志
- 应用程序日志显示停机前立即出现断言失败或致命错误
- 短运行时间与异常网络流量突发相关

### 网络指标

- 单源或分布式的异常数据包突发，紧随设备离线事件之前
- 在大华相关服务端口上针对不受信任子网的新扫描活动
- 外部 SYN/UDP/HTTP 模式与摄像头/NVR 系统日志重启时间戳的关联

### 运营关联

- 多个设备在无 PoE 交换机故障的情况下同时离线
- 离线事件**未伴随**交换机接口错误（暗示端点级崩溃）
- 按固定间隔重复中断（可能为自动重放攻击）

### 推荐日志记录

- 将摄像头、NVR 和对讲机的 **syslog** 集中化
- 保留包含监控设备的网段上的**防火墙/边缘**流日志
- 在短时间窗口内，对来自 VMS 的**大量设备断开**事件发出警报

---

## 缓解与修复

### 主要修复 — 固件更新

1. 盘点所有大华设备，记录型号、序列号和**固件构建日期**。
2. 识别构建日期在 **2026 年 3 月 26 日之前** 的单元。
3. 从 [大华 PSI 信任中心](https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi) 或授权分发渠道下载厂商批准的固件。
4. 在维护窗口内进行升级；验证补丁后录像和对讲功能。
5. 仅在确认已使用修复版本后，重新测试外部暴露的服务。

### 补偿性控制措施（补丁应用前）

| 控制措施 | 目标 |
|---|---|
| **网络分段** | 将摄像头/NVR 放置在专用的 VLAN 上，并采用默认拒绝的 ACL |
| **移除端口转发** | 消除直接 WAN 暴露；改用 VPN 或零信任访问 |
| **限制源 IP** | 仅允许 VMS、跳板主机和运营商子网访问设备管理端口 |
| **禁用未使用服务** | 减少协议攻击面（禁用不必要的 HTTP/ONVIF/PPPoE 等） |
| **出站过滤** | 在策略允许的情况下限制意外的中继行为 |
| **物理备件 / 故障切换** | 对关键镜头保持重叠覆盖 |

### 企业变更管理

- 在 CMDB 中记录固件版本
- 将补丁状态与采购和 RMA 工作流程挂钩
- 将大华 PSI 监控纳入供应商风险审查节奏

---

## 变通方案

没有已知的仅限**配置的变通方法**能在不升级到修复版本的情况下完全消除该漏洞。在应用固件之前，**网络层隔离**是实用的变通方法：

1. 阻止不受信任的网络访问设备管理和专有服务端口。
2. 监控重复的重启模式，并在边缘防火墙处隔离攻击源。
3. 在可能的情况下，将设备放置在经过身份验证的 VPN 集中器之后，而不是直接暴露。

---

## 厂商响应

大华通过其**产品安全事件 (PSI)** 计划发布了此问题。官方资源：

- **信任中心 / PSI：** https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi

运营人员应将厂商公告视为权威来源，以获取：

- 特定型号受影响列表
- 修复固件下载链接
- 额外的加固建议

---

## 参考

| 资源 | URL |
|---|---|
| 大华 PSI 信任中心 | https://www.dahuasecurity.com/about-dahua/trust-center/dahua-psi |
| NVD 条目 | https://nvd.nist.gov/vuln/detail/CVE-2026-29116 |
| CVE 记录 | https://www.cve.org/CVERecord?id=CVE-2026-29116 |
| CWE-617 定义 | https://cwe.mitre.org/data/definitions/617.html |
| CVSS 4.0 规范 | https://www.first.org/cvss/v4.0/specification-document |

---

## 免责声明

本文档是一份**信息性安全公告**，基于公开的 CVE 元数据和厂商声明编写。旨在帮助防御者、集成商和研究人员了解 **CVE-2026-29116** 的风险并进行修复优先级排序。

- 本 README **不提供**利用代码、精心构造的数据包模板或逐步攻击说明。
- 标记为*推断*的技术分析部分是对公开数据的合理解读，而非厂商确认的根本原因披露。
- 受影响型号的确定**必须**根据官方大华 PSI 公告和您设备的固件构建日期进行验证。
- 作者不对基于本文档采取的行动承担任何责任。请根据您组织的变更管理策略进行补丁、测试和部署。

**负责任使用：** 通过协调披露渠道（厂商 PSI、国家 CERT 或适用的漏洞奖励计划）报告其他发现。

---

## 文档修订历史

| 版本 | 日期 | 变更说明 |
|---|---|---|
| 1.0 | 2026-07-11 | 基于 CVE-2026-29116 发布数据的初始全面咨询 README |

---

<p align="center">
  <sub>CVE-2026-29116 · 大华科技 · CVSS 4.0 8.7 高 · CWE-617</sub>
</p>