126 mẫu camera Dahua có lỗ hổng nghiêm trọng

Dahua đã phải tung các bản vá để chặn lỗ hổng

Đây không phải là một vấn đề nhỏ lẻ hay chỉ ảnh hưởng đến vài chiếc camera. Dahua - nhà sản xuất thiết bị giám sát video lớn thứ hai thế giới sau Hikvision - đã xác nhận rằng tổng cộng 126 mẫu camera bị ảnh hưởng, gồm nhiều thiết bị thuộc dòng IPC, SD và DH.

Hai lỗ hổng được mã hóa

Con số này khiến nhiều chuyên gia bảo mật phải "giật mình" vì quy mô tác động tiềm tàng. Hàng triệu camera Dahua trên khắp thế giới - từ các hệ thống an ninh gia đình đến những mạng lưới giám sát doanh nghiệp quy mô lớn - đều có thể đang "mở cửa" cho tin tặc mà không hề hay biết.

Hai lỗ hổng được mã hóa CVE-2025-31700 và CVE-2025-31701 đều là các lỗi tràn bộ đệm (buffer overflow) trong firmware camera Dahua có thể được kích hoạt khi thiết bị xử lý các gói mạng được chế tạo đặc biệt. Lỗ hổng đầu tiên có thể khiến camera bị crash hoặc tệ hơn - cho phép kẻ tấn công từ xa chạy mã độc hại trực tiếp trên thiết bị. Lỗ hổng thứ hai cũng có thể bị khai thác thông qua các gói tin độc hại được gửi qua mạng, không chỉ làm sập camera mà còn tiềm ẩn khả năng cho phép tin tặc giành quyền kiểm soát hoàn toàn từ xa.

Điểm đặc biệt nguy hiểm là cả hai lỗ hổng đều có thể bị khai thác để chạy mã tùy ý với quyền root - tức là quyền cao nhất trong hệ thống. Đây chính là "chìa khóa vàng" mà bất kỳ tin tặc nào cũng khao khát. Những gì khiến các chuyên gia bảo mật thực sự lo lắng là tính đơn giản trong việc khai thác. Các lỗ hổng này đặc biệt nguy hiểm đối với những thiết bị có thể truy cập từ internet thông qua port forwarding hoặc UPnP, vì không cần xác thực để có thể khai thác.

Với lỗ hổng này, một tin tặc ngồi ở bất kỳ đâu trên thế giới, chỉ cần gửi vài gói tin được thiết kế đặc biệt đến camera của bạn và ngay lập tức có thể xem trộm mọi hoạt động trong nhà hoặc văn phòng, nghe lén các cuộc trò chuyện riêng tư qua microphone tích hợp, sử dụng camera như một bàn đạp để tấn công các thiết bị khác trong mạng, hoặc cài đặt mã độc hại bền vững mà rất khó phát hiện và loại bỏ. Bitdefender cảnh báo rằng các cuộc tấn công thành công có thể vượt qua kiểm tra tính toàn vẹn firmware và triển khai mã độc hại bền vững, khiến việc "dọn dẹp" trở nên cực kỳ khó khăn.

Bitdefender đã báo cáo riêng tư các vấn đề này cho Dahua vào ngày 28.3.2025, tuân thủ quy trình tiết lộ có trách nhiệm. Dahua đã thừa nhận báo cáo vào ngày hôm sau và xác nhận các phát hiện vào ngày 1.4. Nhà sản xuất đã yêu cầu thời gian để chuẩn bị bản vá, với các bản cập nhật cuối cùng được triển khai vào tháng trước, theo sau là việc công bố công khai đã được thỏa thuận.

Điều đáng lo ngại là đây không phải lần đầu tiên Dahua phải đối mặt với các vấn đề bảo mật nghiêm trọng. Với tư cách là nhà sản xuất CCTV lớn thứ hai thế giới, Dahua đã phải chịu sự giám sát chặt chẽ tại nhiều quốc gia về các vấn đề an ninh mạng và quyền riêng tư dữ liệu, đặc biệt liên quan đến các lỗ hổng tiềm ẩn trong các thiết bị kết nối mạng. Tuy nhiên, đáng chú ý là Dahua duy trì một Đội phản ứng sự cố bảo mật sản phẩm (PSIRT) để phối hợp với các nhà nghiên cứu về các lỗ hổng được báo cáo, cho thấy họ ít nhất đang nghiêm túc đối phó với các vấn đề bảo mật.

Cần cập nhật firmware

Dahua đang kêu gọi tất cả khách hàng chưa thực hiện việc này, cần cập nhật firmware camera một cách khẩn cấp. Đây không phải là lời khuyên mà là yêu cầu bắt buộc để bảo vệ an toàn. Đối với những ai không thể cập nhật ngay lập tức, Dahua khuyến nghị ngắt kết nối các thiết bị dễ bị tổn thương khỏi truy cập internet trực tiếp, vô hiệu hóa UPnP trên router và cô lập camera trên mạng riêng biệt để giảm rủi ro. Công ty đã cung cấp danh sách chi tiết các mẫu bị ảnh hưởng trong cố vấn trực tuyến, cùng với các liên kết đến firmware đã được vá.

Cả Dahua và Bitdefender đều nhấn mạnh rằng các thiết bị chưa được vá lỗi kết nối internet nên được coi là mục tiêu ưu tiên của tin tặc. Trong thế giới an ninh mạng, những lỗ hổng như vậy được gọi là "low-hanging fruit"(trái chín sẵn chờ hái). Tin tặc hiện tại không cần phải là "thiên tài" công nghệ, vì với các công cụ khai thác ngày càng tinh vi và dễ tiếp cận, việc tấn công những camera chưa được cập nhật có thể dễ dàng như "ăn bánh".

Sự kiện này một lần nữa nhắc nhở chúng ta về tầm quan trọng của bảo mật trong thời đại Internet of Things. Những thiết bị thông minh - từ camera, tủ lạnh đến đèn LED - đều có thể trở thành "cửa sau" cho tin tặc nếu không được bảo vệ đúng cách. Hãy nhớ rằng trong cuộc chiến an ninh mạng, việc phòng ngừa luôn tốt hơn và rẻ hơn việc khắc phục hậu quả. Đừng để camera bảo vệ nhà bạn trở thành đường cho tin tặc "thăm nhà".

Bùi Tú