Dahua dicht lek in 126 modellen ip-camera's dat aanvaller code laat uitvoeren
Fabrikant van beveiligingscamera's Dahua heeft voor 126 modellen ip-camera's firmware-updates uitgebracht die twee kwetsbaarheden verhelpen. Via de lekken kan een aanvaller in het ergste geval de apparaten op afstand overnemen. Dahua roept gebruikers op om de updates te installeren. De twee beveiligingslekken worden aangeduid als CVE-2025-31700 en CVE-2025-31701 en kunnen leiden tot een buffer overflow.
Een aanvaller die misbruik van de kwetsbaarheden wil maken moet speciaal geprepareerde pakketten naar de camera sturen. De buffer overflow die vervolgens ontstaat maakt in het ergste geval remote code execution mogelijk, waardoor er volledige controle over het apparaat wordt verkregen, aldus antivirusbedrijf Bitdefender. Daarnaast is het ook mogelijk om de camera's door middel van de beveiligingslekken te laten crashen waardoor er een denial of service ontstaat.
Bitdefender ontdekte de twee kwetsbaarheden en waarschuwde Dahua op 28 maart. Op 7 juli kwam Dahua vervolgens met firmware-updates voor 126 modellen ip-camera's (pdf). Details over beide beveiligingslekken zijn nu door Bitdefender openbaar gemaakt. De enige vereiste voor misbruik is dat een aanvaller een kwetsbare camera kan benaderen, er is geen authenticatie vereist. Bitdefender adviseert om de webinterface van de camera's niet vanaf internet toegankelijk te maken. Daarnaast wordt aangeraden om de camera in een apart VLAN te plaatsen en firmware-updates zo snel mogelijk te installeren.
Tegelijk zijn andere organisaties zwaar de dupe van DDOS aavallen, heimelijkere aanvallen en oplopende kosten om hier tegen te beschermen. Het lijkt erop dat we als samenleving nog niet goed toe in staat zijn om de kosten van dit soort product defecten, en het misbruik dat daarmee plaats vindt, te verhalen bij de consument of leverancier.
Tegelijk zijn andere organisaties zwaar de dupe van DDOS aavallen, heimelijkere aanvallen en oplopende kosten om hier tegen te beschermen. Het lijkt erop dat we als samenleving nog niet goed toe in staat zijn om de kosten van dit soort product defecten, en het misbruik dat daarmee plaats vindt, te verhalen bij de consument of leverancier.
Ik heb zelf een goed aantal dahua cameras. Het betreft hier alleen de cameras zelf. Als de camera achter een NVR zit is hij niet toegankelijk vanuit het internet. De meeste NVR cameras zitten ook achter een NVR.
Ik heb gecheckt mijn modellen staan er niet tussen en zijn uptodate.
Ik denk dat het nog wel eens mee kan vallen. Dit zijn voornamelijk oudere modellen.
Maar het zijn natuurlijk vaak oudere modellen waarbij men het niet zo nauw neemt met het draaien van updates.
Als de NVR waar ze opaangesloten zitten of te wel niet open staat naar het internet wat zoiezo altijd beter is. Of de camera zelf op het lokale netwerk zit van de NVR is de kans dat ze gehackt worden niet zo groot.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?