Trusted Design

解説:

CVE-2021-33045は、Dahua (ダーファ) 製の複数のセキュリティ製品に存在する認証バイパスの脆弱性です。

1. 脆弱性の概要

Dahua製品のログインプロセスにおいて、攻撃者が悪意のあるデータパケットを構築することで、デバイスのID認証をバイパスできる脆弱性です。この脆弱性は、CWE-287 (Improper Authentication: 不適切な認証) に分類されます。

1.1 影響 リモートの攻撃者が認証を迂回し、影響を受けるデバイスに直接ログインできる可能性があります。これにより、デバイスの管理権限が取得され、設定の変更、パスワードのリセット、デバイスの再起動といった高リスクな操作を実行されるおそれがあります。また、機密データへの不正アクセス、データの改ざん、およびサービス拒否 (DoS) を引き起こす可能性があります。

1.2 深刻度 CVSS v3.1の基本スコアは9.8であり、「緊急 (Critical)」と評価されています。

• CVSS v3.1 ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • AV:N (Attack Vector: Network): ネットワーク経由で攻撃が可能です。
  • AC:L (Attack Complexity: Low): 攻撃の複雑度は低いです。
  • PR:N (Privileges Required: None): 攻撃に特権は必要ありません。
  • UI:N (User Interaction: None): ユーザーの操作は不要です。
  • S:U (Scope: Unchanged): 脆弱性の影響がセキュリティスコープ外に及ぶことはありません。
  • C:H (Confidentiality Impact: High): 機密性への影響は甚大です。
  • I:H (Integrity Impact: High): 完全性への影響は甚大です。
  • A:H (Availability Impact: High): 可用性への影響は甚大です。

また、この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際の標的で悪用されていることが確認されています。これは、CVSSスコアのみで判断するよりも、より強い脅威の指標となります。

2. 対象となる環境

Dahua製の複数のセキュリティ製品が影響を受けます。

• Dahua IPカメラデバイス: IPC-HX3XXX, IPC-HX5XXX, IPC-HUM7XXX (2020年5月以前のビルドタイム)
• ビデオインターホンデバイス: VTO75X95X, VTO65XXX, VTH542XH
• NVRデバイス: NVR1XXX, NVR2XXX, NVR5XXX, NVR6XX (2019年12月以前のビルドタイム)
• XVRデバイス: XVR4xxx, XVR5xxx, XVR7xxx (2019年12月以前のビルドタイム)
• その他、SD1A1, SD22, SD49, SD50, SD52C, SD6AL, TPC-BF1241, TPC-BF2221, TPC-BF5XXX, TPC-PT8X21B, TPC-SD2221, TPC-SD8X21などのPTZドームカメラやサーマルカメラも含まれます。

2.1 影響を受けるOSバージョン OSバージョンに関する特定の記述は見当たりません。本脆弱性は、Dahua製品のファームウェアの認証メカニズムに存在するものです。

2.2 影響を受ける設定 Dahua製品のログインメカニズムにおける認証設計の不備が原因です。具体的には、クライアントが認証中にループバックデバイスを指定した場合に認証バイパスが発生する可能性があります。

3. 影響を受けた時の兆候

具体的なシステムレベルでの兆候に関する公式な記述は多くありません。しかし、以下の兆候を監視することが推奨されます。

• Dahuaデバイスのエンドポイントへの不正または異常な認証リクエストがネットワークトラフィック上で観測される。
• 身に覚えのない設定変更、パスワードリセット、またはデバイスの再起動が発生する。

4. 推奨対策

4.1 本対策 ベンダーであるDahua Technologiesが提供する最新のファームウェアに速やかにアップデートしてください。Dahuaは本脆弱性に対処するファームウェアアップデートをリリースしています。

4.2 暫定回避策（緩和策） * デバイスのデフォルトパスワードを強力なパスワードに変更してください。 * Dahuaデバイスのエンドポイントへの不正または異常な認証リクエストがないか、ネットワークトラフィックを監視してください。 * CVE-2021-33045の既知の悪用パターンを標的としたネットワーク侵入検知 (NIDS) ルールを導入してください。

参照したサイト

• NVD-CVE-2021-33045 - NIST (英語)
• CVE-2021-33045: Dahuasecurity IPC-HUM7xxx Auth Bypass - SentinelOne (英語)
• The identity authentication bypass vulnerability found in... · CVE-2021-33045 - GitHub (英語)
• CVE-2021-33045: Improper Authentication | Rapid7 Vulnerability Database (英語)
• CVE Record: CVE-2021-33045 - Dahua Technologies (英語)
• CVE-2021-33045 Security Vulnerability Analysis & Exploit Details (英語)
• NVD - Search and Statistics - NIST (英語)
• CVE-2021-33045: Dahua IP Camera Authentication Bypass Vulnerability - Safeguard (英語)
• 【Vulnerability Alert】High-Risk Security Vulnerabilities in Dahua IP Camera (CVE-2021-33044 and CVE-2021-33045) - Please Verify and Patch Immediately! (英語)
• Vulnerabilities in Dahua's Cameras | Cyber Security Agency of Singapore (英語)
• Security Advisory - Identity authentication bypass vulnerability found in some Dahua products - Dahua Technology (英語)
• CVE-2021-33045 - vulnerability database (英語)
• 【漏洞預警】Dahua IP Camera存在高風險安全漏洞(CVE-2021-33044與CVE-2021-33045)，請儘速確認並進行修補！ - 網路系統組 (中国語/繁体字)
• Dahua IPC 授权问题漏洞(CVE-2021-33045) 原创 - CSDN博客 (中国語/簡体字)
• Dahua IP Camera存在高風險安全漏洞(CVE-2021-33044與CVE-2021-33045)，請儘速確認並進行修補 - 國家資通安全研究院 (中国語/繁体字)
• dongpohezui/cve-2021-33045 - GitHub (中国語/簡体字)
• Camera-Dahua-Research-l-h-ng-CVE-2021-33044 - Kitploit (日本語)
• 【Vulnerability Alert】High-Risk Security Vulnerabilities in Dahua IP Camera (CVE-2021-33044 and CVE-2021-33045) - Please Verify and Patch Immediately! (英語)