CVE-2021-33045
Dahua IP Camera Authentication Bypass Vulnerability
Beschreibung
CVE-2021-33045 ist eine kritische Schwachstelle (CVSS 9.8 CRITICAL) in der Firmware von Dahua IP-Kameras, NVRs, XVRs und weiteren Überwachungsgeräten. Die Schwachstelle ermöglicht es entfernten Angreifern, die Identitätsauthentifizierung durch speziell konstruierte Datenpakete während des Login-Prozesses zu umgehen. Betroffen ist eine grosse Anzahl von Dahua-Produktfamilien, darunter IPC-, NVR-, XVR-, VTH- und VTO-Geräte. Die Schwachstelle ist im CISA KEV-Katalog gelistet und wird aktiv ausgenutzt. Mit einem EPSS-Score von 0.94171 (99.9. Perzentil) gehört sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen weltweit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| dahuasecurity | ipc-hum7xxx firmware | < 2.820.0000000.5.r.210705 |
| dahuasecurity | ipc-hx3xxx firmware | < 2.800.0000000.29.r.210630 |
| dahuasecurity | ipc-hx5xxx firmware | < 2.820.0000000.5.r.210705 |
| dahuasecurity | nvr-1xxx firmware | < 4.001.0000005.1.r.210709 |
| dahuasecurity | nvr-2xxx firmware | < 4.001.0000000.1.r.210710 |
| dahuasecurity | nvr-4xxx firmware | < 4.001.0000005.1.r.210713 |
| dahuasecurity | nvr-5xxx firmware | < 4.001.0000000.0.r.210710 |
| dahuasecurity | nvr-6xx firmware | < 4.001.0000001.1.r.210716 |
| dahuasecurity | vth-542xh firmware | < 4.500.0000002.0.r.210715 |
| dahuasecurity | vto-65xxx firmware | < 4.300.0000004.0.r.210715 |
| dahuasecurity | vto-75x95x firmware | < 4.300.0000003.0.r.210714 |
| dahuasecurity | xvr-4x04 firmware | -; < 4.001.0000001.1.r.210709 |
| dahuasecurity | xvr-4x08 firmware | < 4.001.0000001.1.r.210709 |
| dahuasecurity | xvr-5x04 firmware | < 4.001.0000003.1.r.210710 |
| dahuasecurity | xvr-5x08 firmware | < 4.001.0000003.1.r.210710 |
| dahuasecurity | xvr-5x16 firmware | < 4.001.0000003.1.r.210710 |
| dahuasecurity | xvr-7x16 firmware | < 4.001.0000003.1.r.210710 |
| dahuasecurity | xvr-7x32 firmware | < 4.001.0000003.1.r.210710 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/164423/Dahua-Authentication-Bypass.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2021/Oct/13(Exploit, Mailing List, Third Party Advisory)
- https://www.dahuasecurity.com/support/cybersecurity/details/957(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-33045(US Government Resource)
Schwachstellentyp
Für CVE-2021-33045 wurde keine spezifische CWE-Nummer zugewiesen, jedoch handelt es sich um eine Identity Authentication Bypass Schwachstelle. Bei dieser Art von Schwachstelle kann der Authentifizierungsprozess eines Geräts oder einer Anwendung durch speziell präparierte Anfragen umgangen werden, sodass ein Angreifer ohne gültige Zugangsdaten Zugriff erhält. Im Fall der Dahua-Geräte liegt der Fehler im Login-Mechanismus selbst: Durch die Konstruktion bestimmter Datenpakete kann die Identitätsprüfung vollständig übersprungen werden. Dies gibt dem Angreifer denselben Zugriff wie einem authentifizierten Benutzer, einschliesslich Administrator-Berechtigungen.
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-33045 sind als kritisch einzustufen, da alle drei Schutzziele maximal betroffen sind. Vertraulichkeit (C:H): Angreifer erhalten ohne Authentifizierung vollständigen Zugriff auf die Video- und Audiostreams aller angeschlossenen Kameras. Dies ermöglicht umfassende Überwachung von Personen, Räumlichkeiten und Geschäftsprozessen. Integrität (I:H): Der unautorisierte Zugriff erlaubt die Manipulation von Aufzeichnungen, das Löschen von Beweismaterial und die Änderung von Gerätekonfigurationen. Kameras können auch als Einstiegspunkt in das interne Netzwerk missbraucht werden. Verfügbarkeit (A:H): Angreifer können Geräte deaktivieren, Firmware-Updates erzwingen oder Denial-of-Service-Zustände herbeiführen, wodurch die physische Sicherheitsinfrastruktur ausfällt. Der EPSS-Score von 0.94171 (99.9. Perzentil) signalisiert eine extrem hohe Ausnutzungswahrscheinlichkeit. Der Angriffsvektor erfordert keinerlei Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) und ist über das Netzwerk (AV:N) mit niedriger Komplexität (AC:L) ausnutzbar. Viele Dahua-Geräte sind direkt aus dem Internet erreichbar, was die Angriffsfläche erheblich vergrössert. Der Ransomware-Status ist als Unknown eingestuft.
Exploit-Reifegrad
CVE-2021-33045 wird aktiv und grossflächig ausgenutzt und wurde von der CISA in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 11. September 2024. Öffentliche Exploits sind über mehrere Quellen verfügbar, darunter ein detaillierter Exploit auf PacketStorm sowie eine vollständige Exploit-Beschreibung auf der oss-security Mailing-Liste. Der extrem hohe EPSS-Score von 0.94171 (99.9. Perzentil) bestätigt die massive Ausnutzungsaktivität. Die Kombination aus öffentlich verfügbaren Exploits, fehlender Authentifizierungsanforderung und der weiten Verbreitung von Dahua-Geräten in Sicherheitsinfrastrukturen weltweit macht diese Schwachstelle zu einem bevorzugten Ziel für Botnet-Betreiber und gezielte Angriffe. Dahua hat ein Security Advisory mit gepatchten Firmware-Versionen veröffentlicht. Der Ransomware-Status wird als Unknown geführt.
Behebung
-
Firmware-Update installieren: Aktualisieren Sie alle betroffenen Dahua-Geräte auf die gepatchten Firmware-Versionen gemäss dem Dahua Security Advisory. Die spezifischen Mindestversionen variieren je nach Produktfamilie (z.B. IPC-HUM7xxx: 2.820.0000000.5.R, NVR-1xxx: 4.001.0000005.1.R).
-
Internetzugang sofort unterbinden: Entfernen Sie alle Dahua-Geräte aus dem direkten Internetzugang. Verwenden Sie stattdessen VPN-Verbindungen für den Fernzugriff. Überprüfen Sie Router und Firewalls auf Port-Weiterleitungen zu Dahua-Geräten (typischerweise Ports 80, 443, 37777).
-
Netzwerk-Segmentierung: Isolieren Sie alle Überwachungsgeräte in einem eigenen VLAN mit strikten Firewall-Regeln. Dahua-Geräte sollten ausschliesslich mit dem NVR/VMS-Server kommunizieren können und keinen direkten Zugang zu anderen Netzwerksegmenten haben.
-
Zugangsdaten und Zertifikate rotieren: Ändern Sie alle Passwörter auf den betroffenen Geräten, da bei einer bereits erfolgten Kompromittierung Angreifer die bestehenden Zugangsdaten extrahiert haben könnten. Überprüfen Sie die Benutzerlisten auf unbekannte Konten.
-
Geräte-Inventarisierung und Monitoring: Erstellen Sie ein vollständiges Inventar aller Dahua-Geräte in Ihrer Umgebung und überwachen Sie den Netzwerkverkehr auf verdächtige Zugriffsmuster, insbesondere auf Login-Versuche mit ungewöhnlichen Datenpaketen.
Technische Details
Der CVSS v3.1 Vektor für CVE-2021-33045 lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H mit einem Score von 9.8 (CRITICAL). Angriffsvektor (AV:N): Der Angriff erfolgt über das Netzwerk — besonders kritisch, da viele Dahua-Geräte direkt aus dem Internet erreichbar sind. Angriffskomplexität (AC:L): Die Ausnutzung ist trivial und erfordert keine speziellen Bedingungen. Erforderliche Berechtigungen (PR:N): Keinerlei Authentifizierung erforderlich — genau dies ist die Kernproblematik der Schwachstelle. Benutzerinteraktion (UI:N): Vollständig automatisierbar, was die Nutzung in Botnetzen ermöglicht. Scope (S:U): Die Auswirkungen bleiben auf das betroffene Gerät beschränkt. Der Angriffsmechanismus basiert auf der fehlerhaften Verarbeitung von Login-Anfragen durch die Dahua-Firmware. Während des Authentifizierungsprozesses können speziell konstruierte Datenpakete die Identitätsprüfung umgehen. Der Angreifer sendet manipulierte Login-Anfragen, die vom Gerät als gültig akzeptiert werden, obwohl keine korrekten Zugangsdaten übermittelt wurden. Dies gewährt vollständigen administrativen Zugriff auf das Gerät, einschliesslich Videostreams, Konfiguration und Firmware-Management.
Häufig gestellte Fragen
Was ist CVE-2021-33045 und welche Geräte sind betroffen?
CVE-2021-33045 ist eine kritische Authentication-Bypass-Schwachstelle in der Firmware zahlreicher Dahua-Überwachungsprodukte. Betroffen sind IP-Kameras (IPC-HUM7xxx, IPC-HX3xxx, IPC-HX5xxx), Netzwerk-Videorekorder (NVR-1xxx bis NVR-6xx), XVR-Rekorder, Video-Türsprechanlagen (VTH-542xH) und VTO-Geräte.
Wie kann ich prüfen, ob meine Dahua-Geräte verwundbar sind?
Prüfen Sie die Firmware-Version Ihres Geräts im Web-Interface unter System > System Info oder über das Dahua ConfigTool. Vergleichen Sie die Version mit den im Dahua Security Advisory genannten gepatchten Versionen. Alle Firmware-Versionen unterhalb der dort genannten Mindestversionen sind verwundbar.
Warum ist der EPSS-Score so extrem hoch?
Der EPSS-Score von 0.94171 (99.9. Perzentil) spiegelt die Kombination mehrerer Faktoren wider: Die triviale Ausnutzbarkeit ohne Authentifizierung, die Verfügbarkeit öffentlicher Exploits, die grosse Anzahl direkt aus dem Internet erreichbarer Dahua-Geräte und die nachgewiesene aktive Ausnutzung durch Botnetze und gezielte Angreifer.
Kann ein Angreifer über die Kamera ins Netzwerk eindringen?
Ja, eine kompromittierte Dahua-Kamera kann als Einstiegspunkt für das interne Netzwerk dienen. Angreifer können die Kamera nutzen, um das Netzwerk zu scannen, laterale Bewegungen durchzuführen und weitere Systeme zu kompromittieren. Eine strikte Netzwerk-Segmentierung ist daher unerlässlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.