Dahua New Critical Vulnerabilities 2021
Dahua has admitted two new major vulnerabilities, discovered by cybersecurity researcher Bashis, the latest in numerous cybersecurity vulnerabilities for the NDAA-banned manufacturer over the past 4 years. Watch the video overview:
Risk "**** ****"
******, *** ************* ********** *** ********** these *** *************** ****** **** **** "very **** ********* *** ******* **** hack, *** ** **** ****** – i.e. ** ***** *********** *** ****** to ** ***** ** *** ******."
********* ** *****: "********* *** ****** device ******** ************** ** ************ ********* data *******."
******* ** *** ****, ****** ** delaying ******* ** *** **** ********** until **** *****:
*** ** *** **** **** ********* of ******* "***** **** ****", * will **** **** ********** ******* ***** October *, ****.
CVEs *** ******
***** ***** *** ******** *** *** numbers *** ***** *************** (***-****-***********-****-*****), **** *** *** ****** ***, as *** ********** ***** *****:
Two *************** - ********* **** ******
***** ******** *** ******** *************** ** their******** ********, ********* ********* ****** ** ********.
- ***-****-*****: ******** **** ***** **** ****** June ****
- ***-****-*****: ** ****** ******** **** ***** time ****** *** **** *** ********/******** firmware ***** ** ******** ****.
*******, ** ******** ********* ******* ** these *************** **** **** ********. ** will ****** **** ****** *** **** Bashis' ***** ** ******* **** ** is ******** ** *******.
Models ********
***** ********* * **** ** ******** ********** **** ***.
- *** ***** **** (***-****-*****) ****** **** of ***** *****, ***, *** ******* cameras, ** **** ** *********.
- *** ****** **** (***-****-*****) ****** *** same **** ** ** ****** ****** and *********, *** **** ******** **** of *****'* **** *** ****.
****: ***** ******** ***** ****** ******* **** ***** *** ** **** numbering ******, ** **** ****** **** *****'* international **** *******.
UPDATE: ********** ****** ***** ******** (**/**/**)
***** *** ******* *** ******** ******** Advisory (******* **/**) *** ***** ******* additional ****** ****** ** *** **** of ******** ******, ***** ****:
***** ** ***** *****, ** ******** the *************** *** ****** **-*** ***** models, ** *** ******** ****. ** is ********* ** *****-********* **** ** them ** **** *** **** **** in ***** *** ***** ** ** clear ****** ******* *******, *** **** have **** ************. **************** ******* **** ***** **** ** HX2XXX ****** *****, ** **** ** ******* ******. The ***** ***** ********* ******* ***** models, ********* **** *** **** ****** (HX1XXX) ** ****** *** (******) ********* cameras **** **** ******* ********* **** the *, *, ** * *****.
Updated ******** *********
******* ******** ** ******* ***** *************** can ** ***** *******'* ************ ***** **** ** *** **.
**** **** ***** **** ***** ******* include ** "****** *******" ***** ****** for *** ********, ** **** ***** that **** ******* ***** *****, *.*., an *** ******* **** ******** ***** "latest *******" **** ***** *** ****** upgrade, ******* **** ******** ***** *********.
Dispute ***** ******** ******
***** ***** (***-****-*****; ***-****-*****) ******** ***** vulnerabilities *.* *** *.* ******, ****** assigned **** * *.* (********). ***** refused ** ******* ** **** ** this.
*** ********** ******* ******' *** *****'* scoring ** *** ** "*****", ***** describes ******* ** ********* ************* *** affect ********* ***** **** ******. *** Bashis, ***** **** ******* ****** **** admin ************, ** ***** ** **** to ****** ***** *******.
** *** ********* *****, ** *********** the ******** ** ***** **** *.* to *.* **** ******** *****:
********, ***** ***** ********* *** ************* as * "**** ***" ***** ****** raised ******** **** **** ********* **************:
Dahua **********
***** *** ******* ********** **** ** press ******* *** ****** ** *** home ****. ** ************ ** ****** within *** ****. ***** **** ** sent ** ***** ** *******, ***** it ****** **** ** *********** **** this ** * ********* *** '*** IoT ********* ****** *************':
Dahua **** "*** ********* *** *********** *****"
***** ******* ** ******* ** *** details, ******* **** **** **** "*** necessary *** *********** *****":
***** ***** **** ***** ** **** potential *************, ***** *** ***** *** necessary *** *********** ***** ** ******* the *****. ***** ** *** ******** advisory **** ** ******** ** *** North ******* ******* ** ****** ****.
Ignored ****** ******* *******
**** ** ****, ***** ******* *** researchers' ****** ** ***** ***************:
***:
**** ** ******** ***** * ****, IPVM ******** ****** ** ******* ********* a ******** **** *****:
Many ********** *************** *** *****
**** ***** ******** ************* *** ** Dahua’s ******* *** ************* ***** ******.
* **** ***,* ***** ******** ***** ********************* **** “********* *** ******* *** action **** *** ******** **** ** authorized ** **” ** ******* ********* to *****’* ***** *******, ********* ***** and ** ** *** *** ********, including ********* *** *******.
** ********* ****,* ***** ******** *************** **** ********, **** *** ** **** ******* attackers ** **** **** ******* ** the *******.
**** * ***** ****** ****, *********** uncovered ****** *********** ********************* ************ ****** ** *** ***** stream ** ****** ** *******.
*** ** ****,* ******** *** ********* ** ***** devices, ********* ** **** ***** ** Dahua ********.
***, ***** ** ****, ***** ***** face * ******* ******.
***** ********* ********* ************* ********, *********** its“************* ********,”*** **** ***** ******* ******** ********“*** * ***** ***”*** **** ***** “*** *-**** *******...******** [Dahua] ** ******** ******.”
*****'* ******* ***** *************** **** *** risk **** *** ****** *****.
*******, ***** **** ** ****, ***** publishing **** * **** ****. (***** missing ******* *** **** ** ** devices)
* ****** ** **** ** **********'* ******* ** *** ************* ************ *****... ** ** *****'* **** on *** ***...
****** ********?
* ***'* *** *** ******* ** it ** **** * **** ***...
*** ******** ************** ****** ************* ***** in **** ***** ******** ****** *** login *******…
***** ***** ** **** **** ** their *********** ******** ********** *** *** them ** *** ********* **** :)
*** ***** ******* *** *** ***** security ********,***** ***** ******** ********, *** *** ****** ***** ******* shows **** ** *** ****** **** Dahua **** *** ******, *** ******* lacks ******* ********** ** ******* *** problems. *** *** ****** ****** ** Dahua **** **** **** *** ** long ** *** ***** ***** *******, they **** **** *******. ****** ** mind.
*** ***** ****, ** ****** ******* back *****?
**** *** *** ****. ****** *** thinks ***** ********* **** *** ******** into *** ******** ***** ** ******* and ***** ***** ********** ** *******. The ********* *** ********* **** *** firmware **** *** ***** *** ************ they ***'* ** *****. ***** ** sheep *** **** ********** ******** **** oems ****** ***** ******** **** *** are ** ****** ******** ** *** practice.
**** *** *** ****.
******* ****’** ******** ****** **** *********** who *** ************* ******* ********* **** to **** **** ****** ****** ****** for *****?
* ***’* ***** **.
@****** -
*) **** ** *** ***** - sloppy ** ******.
***
*) ***’* *** ***** **** ******* could ***** * ********* ************ ******** if **** ****** ** - ******** the ****** **** ** ******?
********* ************ ********
**** * ***** **** *****?
* ********: *) *** * ******** attack, * ***** ** ***** ******** to **** ******** ***** ** ****** used *******, **** ** **'* ********* undetectable. ******** ********* ***** ***** ****** and ***** **** *********. *) ** somebody **** ******, **** **** ***** it **** ** *** ****** ******. The **** **** ***** **** *** simple ***** *** "**** *** *** land" ** ***** ** ***** **. Or **** ******, *** ******** ****'* stolen *****.
** ******** ******* ** ****** ******* Hanlon's *****. ***** *** * *** of ****, ******, *********** ********** ** the *****, ****** ** **** ***** code ****** *** ********.
** * ****** *********, ****** *** a ****** ** ***** **** ********** immediately ** ****** ** *********.
******, ******, ** * ***** **** anything ** ******* *********, * ***** defiantly ******* **** ******** ** **, without *** ***** ****** *************. *** FYI, **** ******* ** *** *******, not **** *****. (********** ****** ** Hik)
*) ****
*) *******, **** *** *** **, overall **'* ****** ** ***** **** as ** ****
** ****** ****** ******* ******* ********* to *** ****** ********? ** *****’* world *** *****’* ****** ******* ***? Would *** *** * ******* ******** wide **** ** *** ******** **** with *** ***** ** ******** **?
** *************** *** *** ** *****? What ***** ********** **** ** *****'* cloud? ***** *** ***** *****'* *****?
** * ******’*. ** ***** ******* are *** ********* ** *** *** what ** *** ***** **** *** happen? ***** *** *** ***** ***** vulnerabilities ** **** *** ****** ******* attacks ****** ** *****.
** *** **** * *****, **** than **** ** *** ***** ************ systems **** ** ***** *********, *****/********? I ********** **** ****** *** ******* with *** ****** / ****** *** response *** **'* ************ *********** ** a ***** ***** ***** *** ************* expect ** ** **** ** ****** their ******* ******** **?
*** ** *** ***** *** ***** work? **'* *** ***** ********, *** nowadays **'* *** ***** *** ***** (AKA ****), *** **** *** ***** back **** ****. ****'* *** "*******"...
"******* ****** *** ***** *****-********"
**** **** ******* (** ********) *** examined *****.
***** *** ********* ***** ********, ****** *********** ******* ** ** they '*******' ****** ****** **** ** being **** *****'* *** ****** *****:
** ****** ***** *** ******* *** also ********, * ***** ** ********* surprised ** *** ** **** ******'* be **.
***** ******* *** ** ** **** the ********* ******** ** *** ******** upgrade *****, ****** **** **'* *** fault *** ****** *** ********:
**** **** ******** *******, *** ********** installation ** **** ******* ******* *******, in ****, ** ********* ****** ********* previous ******** **** ** **** ********. We ** *** **** ** **** has **** ************ ******** **** ***** firmware ********, *** ******** ** *** not, ***** ***** ******* **** *******. Thus *** ** ****** ***** ******** has ******* *** ** ** **** any ******** ***** **** ******* *******. Any ******** **** **** ********** **** issues ** ********** ** ***** *** to ** ** ** *** ******* technical *******.
*** *******, **** ** **** ** reported:
** **** ***** **** **** ******* often *****, *.*., ** *** ******* 2018 ******** ***** "****** *******" **** using *** ****** *******, ******* **** firmware ***** *********.
*'** ***** ***** ** ******* *** their ******** ******** ******* ****** **** that *** **** ******** ** *** of ****.
** ********** ****** *****'* ********, *** never ******* ** ****** ******* ****** update (**'* *** ****** *******' ***** time), ***** ** ****** *** * newer ******* ********* *** ****** ******.
*** ************ **** ******** **** ******** updates ** **** ************ ** ******. If *** *** ****** * **** you ****** ** **** ** ******** the ****** ******* *** ** ****. Having ** **** **'* ********** *** then ***** **** *** ************ ******** and ******* ******* **** **** ** works ** ***********. **** **** ************* who **** *** ******* *** ** their ***** ******. **** ** **** on ** * **** ************ *** can ******* ***** ********.
* ******** ******* **** ****** ** able ** ** **** **** *** if ** ****** ** ******, ******** the ****** *** ******* *** ******, reporting *** ******. ** ***, ** is *** * ************ ******* ** manage ************ *********.
******* ******-** **** ***** ** ****:***** **** ****** ******** ***** **** Not **** **** ***-**-**** ********
*** **** **** ** ******* ** devices ********* ** *** *** ******* Dahua's *** ***** ******* (******* ***** port **********)?
** ******, *** - *** *********** I ***** *** ****** ********.
***** *** ***** ** ********* * UDP ****** (********** ***********), ***** * protocol ****** ***** (**** ****** ***/*****) is **** *** **** ******* ******* the *** *** *** ******, *** these *************** ****** ** **** **** the ***** ********.
*******, ** *** *** *** ****/***** or **** ******** ****** **** *** tunnel, **** ***, ***** *************** *** be ****.
* *** *** ***** ** *** another ******** **** ***** ** *** UDP ******, *** ********** ** *** device ** ****** ****** ** ******* to ***** **** ***/***** ** ***.*.*.*, and **** **** *** ** ********** to ****/***** ** ****.
**** **** **** ******* *** * cannot *** ***** ** ** **** question.
** **** ****, ***** ***** ******** advertise ***** *** ******* ** * free "********" ******* ******* ******** ***** of ***** *************** 😉
* **** ***** **** * ** bit ******* ** *** ***** ***** pushing *** *** ********...
** *** **** ********* ** ****, how *** ***** ***** ******** ** be **** **** ****** *** ** are *** ********?
**** ********, * **** ***** *** years *** ******* **** *** ** new *** ******* ********, **...
>> ****** ******** ***** <<
**** ** * ******* *****, *** being **** ** **** ***** ******* are ********.
* ******** ******* **** *** ** Dahua ***** **** * ***** *** find ******* ******** *** **** ** my ******* ** ***** *********, ***** they ***** **** ******* * **** so **** ***** **** *** **** for **, ***** * ******* ** inform ***** *** ***** **** * expect ** ** **** ******* ******** for ** ******* ** ***** ******* website.
**** ******** ***** ****...
********* ***** **** ********** ** *************** remote ******
****'* **** ***** *** ****** **** in ****
******, ****'* ************* ******** *** ***** both ***** *************** ** *.* (********), the **** ***** ***********'* ****** *************.
**** ** **** ****** **** *** 8.1 *** *.* ****** ***** ****-********.
****** *** ****! *** ******** ******** (updated **/**) ***** ******* ********** ****** series ** *** **** ** ******** models, ***** ****:
***** ** ***** *****, ** ******** the *************** *** ****** **-*** ***** models, ** *** ******** ****. **'* difficult ** *****-********* **** ** **** because **** *** **** **** ** China *** ***** ** ** ***** single ******* *******, *** **** **** been ************. **************** ******* **** ***** **** ** HX2XXX ****** *****, ** **** ** ******* ******. The ***** ***** ********* ******* ***** models, **** **** ** ***, ********* very *** **** ****** (******) ** higher *** (******) ********* ******* **** more ******* ********* **** *** *, 3, ** * *****.
***,
***** '*******' ******** ******** **/**/**** **** old *** *********** ***-****-***** (***********) ******* from **/**/**** (****)
********* **********
* ****** *** **** ****** ** like ****...
** ******** ** ***** *** ***** ago ******* ** **** ***** * "bug" ** *****'* *********, **** ** to **** *** *** *** **** exploited (***), **** * **** ** update ********* ** *** ***** ******* to *** ****** ********.
******** ** *** **** * *** of ********* *********** **** *****'* *** site ******** *******, *** **** **** recently **** **** **** ******* ********. I ***** **** *** *** ******.