CVE-2021-33044
Dahua IP Camera Authentication Bypass Vulnerability
Beschreibung
CVE-2021-33044 ist eine kritische Schwachstelle (CVSS 9.8 CRITICAL) in der Firmware zahlreicher Dahua-Überwachungsprodukte, die eine Umgehung der Identitätsauthentifizierung ermöglicht. Ähnlich wie die verwandte CVE-2021-33045 können Angreifer durch speziell konstruierte Datenpakete die Authentifizierung während des Login-Prozesses umgehen. Betroffen sind eine noch breitere Palette von Dahua-Produkten, darunter IP-Kameras (IPC, SD-Serien), Wärmebildkameras (TPC-Serien), Video-Türsprechanlagen und weitere Geräte. Die Schwachstelle ist im CISA KEV-Katalog gelistet und wird aktiv ausgenutzt. Der EPSS-Score von 0.94269 (99.9. Perzentil) belegt die extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dahuasecurity | ipc-hum7xxx firmware | < 2.820.0000000.5.r.210705 |
| dahuasecurity | ipc-hx3xxx firmware | < 2.800.0000000.29.r.210630 |
| dahuasecurity | ipc-hx5xxx firmware | < 2.820.0000000.18.r.210705 |
| dahuasecurity | sd1a1 firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | sd22 firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | sd49 firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | sd50 firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | sd52c firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | sd6al firmware | < 2.812.0000007.0.r.210706 |
| dahuasecurity | tpc-bf1241 firmware | < 2.630.0000000.6.r.210707 |
| dahuasecurity | tpc-bf2221 firmware | < 2.630.0000000.10.r.210707 |
| dahuasecurity | tpc-bf5x01 firmware | < 2.630.0000000.12.r.210707 |
| dahuasecurity | tpc-pt8x21b firmware | < 2.630.0000000.10.r.210701 |
| dahuasecurity | tpc-sd2221 firmware | <= 2.630.0000000.7.r.210707 |
| dahuasecurity | tpc-sd8x21 firmware | < 2.630.0000000.9.r.210706 |
| dahuasecurity | vto-65xxx firmware | < 4.300.0000004.0.r.210715 |
| dahuasecurity | vto-75x95x firmware | < 4.300.0000003.0.r.210714 |
| dahuasecurity | vth-542xh firmware | < 4.500.0000002.0.r.210715 |
| dahuasecurity | tpc-bf5x21 firmware | < 2.630.0000000.8.r.210630 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164423/Dahua-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2021/Oct/13(Exploit, Mailing List, Third Party Advisory)
- https://www.dahuasecurity.com/support/cybersecurity/details/957(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-33044(US Government Resource)
Schwachstellentyp
Für CVE-2021-33044 wurde keine spezifische CWE-Nummer zugewiesen, jedoch handelt es sich — wie bei der verwandten CVE-2021-33045 — um eine Identity Authentication Bypass Schwachstelle. Der Authentifizierungsmechanismus der Dahua-Firmware weist einen grundlegenden Designfehler auf, der es ermöglicht, die Identitätsprüfung bei der Anmeldung vollständig zu umgehen. Während CVE-2021-33045 denselben grundlegenden Fehler in einer Gruppe von Produkten adressiert, betrifft CVE-2021-33044 eine erweiterte Palette von Geräten, insbesondere PTZ-Kameras (SD-Serien), Wärmebildkameras (TPC-Serien) und weitere spezialisierte Überwachungsgeräte. Der gemeinsame Firmware-Code dieser Gerätefamilien teilt den fehlerhaften Authentifizierungsmechanismus.
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-33044 sind identisch kritisch wie bei CVE-2021-33045, betreffen jedoch eine noch grössere Gerätepalette. Vertraulichkeit (C:H): Unautorisierter Zugriff auf Video- und Audiostreams von IP-Kameras, Wärmebildkameras und Türsprechanlagen. Besonders die Kompromittierung von Wärmebildkameras (TPC-Serien) kann in Industrieumgebungen sensible Betriebsdaten preisgeben. Integrität (I:H): Angreifer können Aufzeichnungen manipulieren, Konfigurationen ändern, Firmware modifizieren und die Geräte als Einstiegspunkt ins interne Netzwerk nutzen. Verfügbarkeit (A:H): Die physische Sicherheitsinfrastruktur kann vollständig deaktiviert werden. Der EPSS-Score von 0.94269 (99.9. Perzentil) bestätigt die extreme Ausnutzungsaktivität. Wie bei CVE-2021-33045 erfordert der Angriff keinerlei Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) und ist über das Netzwerk (AV:N) mit minimaler Komplexität (AC:L) durchführbar. Die breite Palette betroffener Produkttypen — von Standard-IP-Kameras über PTZ-Kameras bis hin zu Wärmebildsystemen — vergrössert die potenzielle Angriffsfläche erheblich. Der Ransomware-Status ist als Unknown eingestuft.
Exploit-Reifegrad
CVE-2021-33044 wird aktiv und grossflächig ausgenutzt und ist im CISA KEV-Katalog gelistet, mit einer Behebungsfrist bis zum 11. September 2024. Öffentliche Exploits sind identisch mit denen für CVE-2021-33045 verfügbar, da beide Schwachstellen denselben grundlegenden Authentifizierungsfehler ausnutzen. Der Exploit auf PacketStorm und die Veröffentlichung auf der Full Disclosure Mailing-Liste dokumentieren den Angriffsmechanismus detailliert. Der EPSS-Score von 0.94269 (99.9. Perzentil) liegt im höchsten Bereich und bestätigt die grossflächige Ausnutzung. Dahua hat das Security Advisory für beide CVEs gemeinsam veröffentlicht, da der zugrunde liegende Fehler identisch ist. Die Exploit-Verfügbarkeit und die typischerweise mangelhafte Patch-Hygiene bei IoT-Geräten machen ungepatchte Dahua-Geräte zu leichten Zielen für Botnetze und gezielte Angriffe. Der Ransomware-Status wird als Unknown geführt.
Behebung
-
Firmware-Update für alle betroffenen Geräte: Aktualisieren Sie die Firmware aller Dahua-Geräte gemäss dem Dahua Security Advisory. Betroffene Produktfamilien umfassen IPC-HUM7xxx, IPC-HX3xxx, IPC-HX5xxx, SD-Serien (SD1A1, SD22, SD49, SD50, SD52C, SD6AL), TPC-Wärmebildkameras sowie VTH- und VTO-Türsprechanlagen.
-
Netzwerkzugang sofort einschränken: Blockieren Sie den direkten Internetzugriff auf alle Dahua-Geräte. Entfernen Sie Port-Weiterleitungen (Ports 80, 443, 37777, 554) und implementieren Sie VPN-basierte Fernzugriffslösungen.
-
IoT-Netzwerk-Segmentierung: Platzieren Sie alle Überwachungsgeräte in ein dediziertes VLAN mit strikten Firewall-Regeln. Beschränken Sie die Kommunikation auf den NVR/VMS-Server und blockieren Sie jeglichen ausgehenden Internetverkehr der Kameras.
-
Bestandsaufnahme und Priorisierung: Erstellen Sie ein vollständiges Inventar aller Dahua-Geräte, insbesondere der erweiterten Produktpalette (PTZ-Kameras, Wärmebildkameras, Türsprechanlagen). Priorisieren Sie das Patching nach Exponierung — direkt erreichbare Geräte zuerst.
-
Kompromittierungsprüfung: Analysieren Sie die Zugriffslogs aller betroffenen Geräte auf verdächtige Login-Aktivitäten. Überprüfen Sie Benutzerlisten auf unbekannte Konten und Konfigurationsänderungen auf nicht autorisierte Modifikationen.
Technische Details
Der CVSS v3.1 Vektor für CVE-2021-33044 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H mit einem Score von 9.8 (CRITICAL). Angriffsvektor (AV:N): Netzwerkbasierter Angriff, besonders kritisch bei direkt aus dem Internet erreichbaren Geräten. Angriffskomplexität (AC:L): Triviale Ausnutzung ohne besondere Bedingungen. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung erforderlich — der Bypass macht genau dies möglich. Benutzerinteraktion (UI:N): Vollständig automatisierbar für grossflächige Scans und Angriffe. Scope (S:U): Auf das betroffene Gerät beschränkt. CVE-2021-33044 und CVE-2021-33045 teilen denselben grundlegenden Authentifizierungsfehler in der Dahua-Firmware. Der Login-Prozess der betroffenen Geräte akzeptiert speziell konstruierte Datenpakete, die die Identitätsprüfung umgehen. Der Unterschied zwischen den beiden CVEs liegt primär in der betroffenen Gerätepalette: Während CVE-2021-33045 sich auf IPC-, NVR- und XVR-Geräte konzentriert, umfasst CVE-2021-33044 zusätzlich PTZ-Kameras der SD-Serien, Wärmebildkameras der TPC-Serien und weitere spezialisierte Geräte. Der gemeinsame Firmware-Stack dieser Geräte enthält denselben fehlerhaften Authentifizierungscode, was die breite Betroffenheit erklärt.
Häufig gestellte Fragen
Was ist der Unterschied zwischen CVE-2021-33044 und CVE-2021-33045?
Beide Schwachstellen betreffen denselben grundlegenden Authentication-Bypass-Fehler in der Dahua-Firmware. CVE-2021-33044 betrifft jedoch eine breitere Palette von Geräten, einschliesslich PTZ-Kameras (SD-Serien), Wärmebildkameras (TPC-Serien) und weitere spezialisierte Überwachungsgeräte, die von CVE-2021-33045 nicht abgedeckt werden.
Wie viele Gerätetypen sind von CVE-2021-33044 betroffen?
Die Schwachstelle betrifft mindestens 19 verschiedene Dahua-Produktfamilien, darunter IPC-Kameras, SD-PTZ-Kameras (SD1A1, SD22, SD49, SD50, SD52C, SD6AL), TPC-Wärmebildkameras (TPC-BF1241, TPC-BF2221, TPC-BF5x01, TPC-BF5x21, TPC-PT8x21B, TPC-SD2221, TPC-SD8x21), VTO-Türstationen und VTH-Inneneinheiten.
Sind meine Kameras betroffen, wenn sie nicht direkt aus dem Internet erreichbar sind?
Die Schwachstelle besteht unabhängig von der Netzwerkkonfiguration in der Firmware selbst. Auch intern erreichbare Geräte sollten aktualisiert werden, da ein Angreifer mit Zugang zum internen Netzwerk (z.B. über eine andere Schwachstelle oder einen kompromittierten Arbeitsplatz) die Kameras ohne Authentifizierung übernehmen kann.
Wird CVE-2021-33044 in Ransomware-Angriffen eingesetzt?
Der KEV-Eintrag stuft den Ransomware-Status als Unknown ein. IoT-Geräte wie Kameras werden häufiger für Botnetze (z.B. Mirai-Varianten) als direkt für Ransomware missbraucht. Allerdings kann eine kompromittierte Kamera als Einstiegspunkt dienen, von dem aus Ransomware im internen Netzwerk verbreitet wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.