Bitdefender advierte a los usuarios que actualicen las cámaras Dahua debido a fallas críticas

Se han detectado dos vulnerabilidades de seguridad en una línea de cámaras de seguridad Dahua ampliamente utilizada, que exponen los dispositivos a un control remoto completo. La firma de investigación Bitdefender, que compartió sus hallazgos con Hackread.com, insta a todos los usuarios a actualizar el firmware de sus cámaras de inmediato.

La investigación identificó dos vulnerabilidades específicas y críticas. La primera, denominada CVE-2025-31700 , es un desbordamiento de búfer basado en pila en el protocolo ONVIF de la cámara. Este protocolo es un estándar que permite la comunicación entre diferentes dispositivos de seguridad.

La falla ocurre cuando la cámara gestiona incorrectamente una solicitud de red, lo que permite a un atacante enviar demasiados datos y sobrescribir partes importantes de la memoria del dispositivo. Esto permite al atacante ejecutar sus propios comandos en la cámara sin necesidad de iniciar sesión.

La segunda vulnerabilidad, CVE-2025-31701 , es un .bss segment overflow vinculado al controlador de carga de archivos de la cámara. Este problema es similar al primero, pero afecta a una parte diferente de la memoria de la cámara. La cámara copia incorrectamente un encabezado de datos, lo que permite a un atacante no autenticado sobrescribir variables globales adyacentes. Al modificar estas variables, el atacante puede secuestrar el control del programa y lograr la ejecución remota completa del código.

Las fallas afectan al modelo Dahua Hero C1 (DH-H4C), una cámara popular que se utiliza en diversos lugares, como tiendas, casinos, almacenes y hogares. Bitdefender verificó los problemas en la Hero C1 con la versión de firmware V2.810.9992002.0.R, la última disponible al iniciar la investigación. La propia auditoría de Dahua también confirmó que los mismos problemas afectan a otros modelos de dispositivos, como las cámaras de las series IPC-1XXX, IPC-2XXX, IPC-WX y SD.

Dahua solucionó oficialmente los problemas de seguridad el 7 de julio de 2025, tras un proceso de divulgación coordinado con Bitdefender. Según un cronograma proporcionado por los investigadores, las fallas se informaron por primera vez a Dahua el 28 de marzo de 2025. Este tipo de colaboración entre investigadores de seguridad y empresas es importante para solucionar los problemas antes de que puedan utilizarse para ciberataques.

Cabe destacar que ambas vulnerabilidades son peligrosas, ya que pueden explotarse remotamente a través de una red local, e incluso a través de internet, si las cámaras se exponen mediante configuraciones como el reenvío de puertos o UPnP (Universal Plug and Play). Un ataque exitoso otorga al atacante acceso completo al dispositivo, lo que permite instalar software malicioso difícil de eliminar.

Por lo tanto, Bitdefender recomienda a todos los usuarios que comprueben la versión del firmware de su cámara. Cualquier dispositivo con firmware anterior al 16 de abril de 2025 está en riesgo. Si no es posible actualizarlo, los usuarios deben tomar medidas para proteger sus cámaras. Esto incluye no exponer la interfaz web de la cámara a internet, desactivar UPnP y aislar la cámara en una red independiente para evitar que los atacantes accedan a otros dispositivos.