Dahua IP Camera Firmware の認証回避の脆弱性（CVE-2021-33045）

何が起きた

Dahua の防犯カメラ（IP カメラ）などの機器で、ログインするときの本人確認をすり抜けられる弱点が見つかりました。CISA によると、ログインのときに相手が自分の機器の中を指す特別な宛先（ループバック）を指定すると、確認をすり抜けられます。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに、細工したデータを送って悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Dahua の一部の IP カメラ、ビデオインターホン、NVR、XVR を使っている人・組織が対象です。CVE の記録では、IP カメラ IPC-HX3XXX、IPC-HX5XXX、IPC-HUM7XXX などのうち Buildtime before May, 2020 のもの、NVR や XVR の一部の機種で Buildtime before December, 2019 のものが挙げられています。Dahua の勧告では、このほか IPC-HX1XXX、HX2XXX、HX8XXX なども挙げられています。

何をすればいい

使っている Dahua の機器の型番と、ファームウェア（機器の中のソフト）の Build time を調べてください。Dahua によると、Build time は機器の Web の画面の Settings-System Information-Version Information で確かめられます。影響を受けるものなら、Dahua の勧告（DHCC-SA-202106-001）の表に機種ごとに載っている修正版のファームウェアか、それより新しいものに更新してください。Dahua の Web サイトのダウンロードページ、クラウドからの更新、Dahua のサポートへの問い合わせで入手できます。更新できない機器は使用をやめることも検討してください。必ず公式の案内を確認してください。

やることチェックリスト

• 機器の画面で Build time を調べる
• 勧告の表にある修正版のファームウェアに更新する
• 更新できない機器は使用をやめる

用語メモ

IP カメラ

ネットワークにつないで、映像を送ったり離れた場所から操作したりできるカメラです。

ファームウェア

機器の中に組み込まれていて、機器を動かしているソフトです。

ループバック

通信の宛先として、その機器自身を指す特別な宛先です。