Две опасные уязвимости в камерах Dahua: исследование Bitdefender

Исследователи из компании Bitdefender объявили о двух критических уязвимостях в программном обеспечении (прошивке) множества умных камер видеонаблюдения китайского производителя Dahua. Речь идёт о популярных IP-камерах, которые используются как для частного наблюдения за домом, так и в бизнесе.

Обнаруженные уязвимости уже исправлены в последнем обновлении прошивки, но если на камере установлена устаревшая версия программного обеспечения, злоумышленник сможет получить полный контроль над устройством без какой-либо авторизации. Dahua подтвердила, что всего под угрозой оказалось 126 моделей камер, а не только популярная Hero C1.

Первая уязвимость, обозначенная как CVE-2025-31700, связана с переполнением буфера. Это проблема при обработке специально сформированных сетевых пакетов: камера может сломаться или позволить хакеру запускать произвольный код на устройстве. Вторая уязвимость CVE-2025-31701 устроена похожим образом — камера получает вредоносный сетевой пакет и может быть полностью взломана, включая получение злоумышленником максимальных прав доступа (root).

Bitdefender сообщил о найденных уязвимостях компании Dahua 28 марта 2025 года. Уже на следующий день производитель подтвердил проблему. К 1 апреля уязвимости были официально признаны, однако выпуск исправлений затянулся до прошлого месяца. Только затем, по соглашению сторон, об угрозе было сообщено общественности.

Особенно опасны лазейки для тех устройств, к которым можно получить доступ напрямую из интернета через функцию переадресации портов или автоматическое открытие по протоколу UPnP, поскольку для атаки не требуется никакой логин-пароль. Если атакующий получит доступ, то может обойти стандартные проверки целостности прошивки, внедрить вредоносное программное обеспечение и даже закрепиться в системе камеры так, чтобы удалить вредоносный код было затруднительно.

Компания Dahua является вторым по величине мировым производителем камер видеонаблюдения (после Hikvision) и не впервые сталкивается с вопросами безопасности своих устройств. В ряде стран уже возникали опасения насчёт утечек данных пользователей и хакерских атак на камеры, подключённые к интернету.

Для контроля ситуации в Dahua создана собственная команда по реагированию на инциденты в области безопасности (PSIRT), которая общается с внешними исследователями, чтобы быстро находить и устранять уязвимости. Сейчас компания настоятельно рекомендует обновить прошивку всех своих камер как можно скорее. Для тех, кто пока не может это сделать, советуют отключить камеры от прямого доступа к интернету, деактивировать UPnP и изолировать устройства на отдельной сети, чтобы снизить риски.

В онлайн-уведомлении Dahua подробно указаны все затронутые модели и выложены версии прошивок с исправлениями. Bitdefender и Dahua подчёркивают: если устройство находится в сети и не обновлено, оно становится лакомым кусочком для злоумышленников.