研究人員：大華DVR與IP攝影機可被輕易攻陷，迫使大華緊急釋出更新

中國製造商大華（Dahua）在本周修補了旗下11款數位錄放影機（DVR）及IP攝影機的安全漏洞。發現相關漏洞的安全研究人員Bashis宣稱只要幾秒鐘就能透過相關漏洞登入這些裝置，且他還釋出了概念性驗證程式，迫使大華在隔天即釋出韌體更新。

Bashis表示，他不敢相信有這麼容易破解的裝置，因為大華把DVR與IP攝影機的配置存放在網路伺服器上，任何知道這些裝置IP位址的人都能直接下載配置檔案，配置檔中內含所有可存取該裝置的帳號資訊。

因此，要攻陷裝置很簡單，先從遠端下載配置檔之後，選擇管理員權限的帳號及雜湊密碼，再於裝置登入頁面上直接貼上帳號與密碼就大功告成了。

Bashis相信這是大華故意留下的後門，而且他說自己的原則是先通知社群再通知製造商，因為他不想聽到製造商的藉口或試圖叫他閉嘴之類的。

大華則說這是程式碼的疏失，並不是故意的，也在隔天就釋出了11款裝置的韌體更新，同時澄清這些裝置並未遭到任何的惡意攻擊。由於可能有更多的大華裝置受到波及，預期大華近期會陸續更新其他裝置的韌體，資安業者則呼籲相關裝置用戶要儘速修補。

大華公佈受影響的11款裝置：