Błąd w kamerach D-Link pozwala po zalogowaniu uruchomić na kamerze własne polecenia, a sąsiednia luka wydaje hasło administratora bez logowania. CISA potwierdza ataki. Odetnij kamery od internetu, wgraj poprawkę, zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które mają kamery D-Link z serii DCS (np. DCS-2530L, DCS-2670L) w biurze, magazynie, warsztacie lub hostelu. Werdykt: odetnij dziś kamery od dostępu z internetu, wgraj dostępną poprawkę i zmień hasła, a kamerę DCS-2530L, która nie ma już wsparcia, zaplanuj do wymiany, bo CISA potwierdza wykorzystanie tej luki.
Amerykańska agencja CISA 5 sierpnia 2025 roku dopisała podatność CVE-2020-25079 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia trafiła tam sąsiednia luka w tych samych kamerach, CVE-2020-25078. Termin naprawy dla obu minął 26 sierpnia 2025 roku.
CVE-2020-25079 pozwala zalogowanemu użytkownikowi kamery wstrzyknąć polecenia systemowe przez skrypt obsługujący dynamiczny DNS (cgi-bin/ddns_enc.cgi) i uruchomić na kamerze własne programy. Wymóg logowania słabo chroni, bo CVE-2020-25078 pozwala każdemu z sieci odczytać hasło administratora bez logowania. Obie luki producent opisał w jednym komunikacie SAP10180 i usuwa je ta sama aktualizacja. CISA zaznacza, że produkty mogą być po zakończeniu wsparcia.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2020-25079 (powiązana: CVE-2020-25078) |
Data dodania do CISA KEV | 2025-08-05 |
Termin naprawy wg CISA | 2025-08-26 (21 dni od wpisu) |
Produkt | Kamery IP D-Link DCS-2530L i DCS-2670L; NVD wymienia też DCS-4603, DCS-4622, DCS-4701E, DCS-4703E, DCS-4705E, DCS-4802E i DCS-P703 |
Wersje zagrożone | Opis NVD: DCS-2530L przed 1.06.01 Hotfix, DCS-2670L do 2.02. Konfiguracja NVD: DCS-2530L do 1.05.05, DCS-2670L przed 2.03.00, DCS-4603 przed 1.04.02, DCS-4622 przed 2.01.10, DCS-4701E przed 2.03.01, DCS-4703E przed 1.03.04, DCS-4705E przed 1.03.02, DCS-4802E przed 2.01.01, DCS-P703 wszystkie wersje |
Wersje bezpieczne | Wersje podane wyżej jako granice „przed” lub nowsze. Dla DCS-2530L tabela producenta wskazuje v1.07.00 Hotfix. Producent opisuje pliki jako wydania testowe lub doraźne, używane na odpowiedzialność użytkownika. DCS-2530L: koniec wsparcia 17 września 2021 roku, kolejnych poprawek nie będzie |
Typ podatności | Wstrzyknięcie poleceń po uwierzytelnieniu; CWE-77 |
Ocena CVSS | NVD: 8.8 WYSOKA (CVSS 3.1) oraz 9.0 (CVSS 2.0). Powiązana CVE-2020-25078: 7.5 WYSOKA (CVSS 3.1). Atak przez sieć, wymaga konta o niskich uprawnieniach, bez udziału użytkownika |
Wyobraź sobie formularz zlecenia, który pracownik przepisuje do systemu słowo w słowo i wykonuje. W rubryce „nazwa usługi” ktoś wpisuje: „DNS; a potem otwórz magazyn i wyłącz alarm”. Pracownik nie odróżnia treści od polecenia, więc robi jedno i drugie. Żeby podać formularz, trzeba mieć przepustkę. Tyle że obok, w tym samym budynku, jest okienko, w którym każdy pytający dostaje przepustkę administratora.
Tak jest z kamerami D-Link. Funkcja dynamicznego DNS pozwala oglądać kamerę pod stałą nazwą. Dane wpisane w jej formularz trafiały do polecenia systemowego bez sprawdzenia, więc dopisana komenda wykonywała się na kamerze. Do formularza potrzebne jest logowanie, ale sąsiednia luka wydaje hasło administratora każdemu, kto o nie zapyta. Kamera przestaje być kamerą i staje się przyczółkiem napastnika w sieci firmy.
💡 Wstrzyknięcie poleceń to błąd, w którym tekst z formularza zostaje wykonany jako polecenie systemu. Dynamiczny DNS (DDNS) to usługa, która daje urządzeniu stałą nazwę mimo zmiennego adresu internetowego. Hotfix to doraźna poprawka wydana poza zwykłym cyklem. EPSS to statystyczna prognoza szansy próby wykorzystania luki w ciągu 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy z internetu łączy się z kamerą | Musi znać hasło | Hasło może uzyskać przez CVE-2020-25078 |
Zalogowany użytkownik edytuje ustawienia DDNS | Zapisuje nazwę i dane konta | Dopisana komenda wykonuje się na kamerze |
Kamera w sieci biura | Przesyła obraz | Może skanować komputery i atakować inne urządzenia |
Łącze internetowe firmy | Normalna prędkość | Może zwolnić, gdy kamera bierze udział w atakach na innych |
Poczta firmowa | Dochodzi do klientów | Adres firmy może trafić na listy blokad |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy. CVE-2020-25079 wymaga konta w kamerze, więc atak zwykle zaczyna się od zdobycia hasła: przez CVE-2020-25078, hasło domyślne lub znane wielu osobom. CISA ocenia, że samo wstrzyknięcie poleceń nie jest automatyzowalne, w przeciwieństwie do odczytu hasła.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie kamer D-Link dostępnych z internetu | Lista kamer |
2. Zdobycie hasła | T+kilka minut | Odczyt hasła administratora przez CVE-2020-25078 lub użycie słabego hasła | Ważne konto w kamerze |
3. Wstrzyknięcie poleceń | T+kilkanaście minut | Spreparowane dane w formularzu DDNS (ddns_enc.cgi) | Własny program działa na kamerze |
4. Utrwalenie | T+1 godz. | Instalacja złośliwego oprogramowania, dołączenie do sieci przejętych urządzeń | Kamera pod kontrolą napastnika |
5. Ruch w sieci | T+dni | Skanowanie komputerów, rejestratora, próby haseł | Dostęp do innych systemów firmy |
6. Skutki | T+dni do tygodni | Ataki na innych z adresu firmy, podgląd obrazu, dalsze włamania | Wolne łącze, blokady poczty, wyciek nagrań |
Kamery kupuje się raz i zapomina o nich. Tymczasem to komputery z dostępem do sieci firmy i często do internetu. Ocena 8.8 mówi, ile można stracić (pełna kontrola nad urządzeniem), a potwierdzone ataki i luka wydająca hasła sprawiają, że bariera logowania jest iluzoryczna.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wolne łącze, niedziałające nagrywanie, praca z dostawcą internetu | Dni | 3 tys. do 30 tys. PLN (serwis, wymiana kamer) |
Bezpieczeństwo danych | Wyciek nagrań, dostęp do innych urządzeń w sieci | Dni do tygodni | 10 tys. do 100 tys. PLN (analiza, zabezpieczenie sieci) |
Finansowy | Utracone zamówienia przez blokady poczty, koszty wymiany sprzętu | Tygodnie | 10 tys. do 150 tys. PLN łącznie |
Reputacyjny | Adres firmy na listach blokad, wyciek nagrań klientów lub pracowników | Tygodnie do miesięcy | 10 tys. do 200 tys. PLN |
Prawny | Nagrania wizerunku to dane osobowe: przy wycieku obowiązek zgłoszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla kamery D-Link bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE: kamera dostępna z internetu
3 | . . . . .
2 | . ■ . . . ← NISKIE: kamera tylko w sieci lokalnej,
1 | . . . . . silne unikalne hasło
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełne przejęcie kamery i przyczółek w sieci), a prawdopodobieństwo zależy przede wszystkim od tego, czy kamera jest widoczna z internetu, bo wtedy skanery automatycznie znajdą lukę wydającą hasło.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać kamery D-Link DCS we wszystkich lokalizacjach: model i wersja oprogramowania | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wyłączyć dostęp do kamer z internetu (przekierowania portów w routerze), zostawić tylko sieć lokalną lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zmienić hasła administratora kamer na unikalne | Dziś | Administrator IT |
4 | 🟠 PILNIE | Wgrać poprawkę producenta najpierw na jedną kamerę, sprawdzić obraz i nagrywanie przez dzień, potem na pozostałe | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Wyłączyć funkcję DDNS, jeśli obraz jest oglądany przez aplikację producenta lub tylko z biura | Do 3 dni | Administrator IT |
6 | 🟠 PILNIE | Umieścić kamery w osobnej sieci, oddzielonej od komputerów firmy | Do 7 dni | Administrator sieci |
7 | 🟡 WAŻNIE | Zaplanować wymianę DCS-2530L i innych modeli bez wsparcia, z konkretnym kwartałem | Do 30 dni | CFO / CTO |
Producent wydał poprawki doraźne, ale dla DCS-2530L wsparcie zakończyło się w 2021 roku, a dla DCS-P703 NVD nie wskazuje wersji z poprawką. CISA zaleca zaprzestanie używania sprzętu bez środków zaradczych. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Brak dostępu do kamery z internetu (tylko sieć lokalna lub VPN) | Wysoka: odcina automatyczne skanowanie | Łatwa |
Osobna sieć dla kamer, bez dostępu do komputerów firmy | Średnia do wysokiej: ogranicza skutki przejęcia | Średnia |
Unikalne, silne hasło administratora | Niska przy CVE-2020-25078 (hasło da się odczytać), przydatna po aktualizacji | Łatwa |
Wyłączenie DDNS, gdy jest zbędny | Niska do średniej: nie jest zaleceniem producenta, zmniejsza użycie podatnej funkcji | Łatwa |
Wymiana na wspierany model | Wysoka | Średnia: wymaga budżetu |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do kamer | Z internetu, przez przekierowane porty | Tylko sieć lokalna lub VPN |
Oprogramowanie kamer | Wersje z lukami | Poprawka wgrana, sprawdzona na jednej kamerze |
Hasła | Wspólne, niezmieniane latami | Unikalne |
Sieć | Kamery obok komputerów księgowości | Kamery w osobnej sieci |
Sprzęt bez wsparcia | „Działa, więc zostaje” | Wymiana zaplanowana na konkretny kwartał |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). SSVC CISA: atak nieautomatyzowalny, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (NVD, CVSS 3.1); 9.0 (NVD, CVSS 2.0) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie; NVD odsyła do wpisu badacza w serwisie X (Twitter) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Niezależni badacze z Knownsec 404 i Qihoo 360 Technology (wg analizy źródłowej) |
Prognoza EPSS | Około 53% dla CVE-2020-25079 i około 98% dla CVE-2020-25078 (wg analizy źródłowej) |
Ocena CVSS mówi, ile można stracić, a EPSS, jak szybko ktoś spróbuje. Luka wydająca hasła ma niższą ocenę, ale wyższą szansę ataku, bo da się ją wykorzystać automatycznie. Obie usuwa ta sama aktualizacja, więc łata się je razem.
Sygnały zagrożenia: CVE-2020-25079 i powiązana CVE-2020-25078
CVSS 3.1 -25079 (polecenia) 8.8/10 █████████████████░░░ WYSOKA
CVSS 3.1 -25078 (hasło) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS -25079 ~53% ███████████░░░░░░░░░
EPSS -25078 ~98% ████████████████████
CISA KEV (obie) TAK ████████████████████ ataki potwierdzone 2020 Zgłoszenia badaczy; D-Link publikuje komunikat SAP10180
2020-09-02 Publikacja CVE-2020-25079 i CVE-2020-25078 w NVD
2021-09-17 Koniec wsparcia technicznego kamery DCS-2530L
2025-08-05 CISA dodaje obie luki do katalogu KEV
2025-08-26 Termin naprawy wg CISA dla agencji federalnych
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z poprawkami: D-Link SAP10180 . Strona wsparcia DCS-2530L: support.dlink.com . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2020-25079 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma ma kamery D-Link DCS i gdzie | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie kamer od dostępu z internetu | CTO | DZISIAJ |
3 | Uzyskać potwierdzenie zmiany haseł administratora kamer | CTO | DO JUTRA |
4 | Zatwierdzić plan wgrania poprawek z testem na jednej kamerze | CTO | DO JUTRA |
5 | Oszacować koszt wymiany kamer bez wsparcia i wpisać go do budżetu | CFO | DO JUTRA |
6 | Sprawdzić, czy umowa z firmą instalującą monitoring obejmuje aktualizacje i bezpieczeństwo | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile kamer D-Link DCS mamy i jakie to modele? | [liczba], [modele] | 🔴 |
2 | Czy któraś kamera jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Jaka wersja oprogramowania jest na każdej kamerze? | [wersja] | 🔴 |
4 | Czy hasła administratora kamer zostały zmienione po ogłoszeniu luki? | TAK / NIE, data: [data] | 🟠 |
5 | Czy kamery są w osobnej sieci niż komputery? | TAK / NIE | 🟠 |
6 | Czy używamy funkcji DDNS w kamerach i czy jest potrzebna? | TAK / NIE | 🟡 |
7 | Które kamery nie mają już wsparcia producenta? | [lista] | 🟡 |
CVE-2020-25079 pozwala wykonać własne polecenia na kamerach D-Link DCS po zalogowaniu, a sąsiednia CVE-2020-25078 wydaje hasło administratora bez logowania. CISA potwierdza wykorzystanie obu, a kamera DCS-2530L nie ma już wsparcia. Zadanie na dziś: odciąć kamery od internetu i zmienić hasła, w tym tygodniu wgrać poprawki z testem na jednej kamerze, a wymianę sprzętu bez wsparcia wpisać do planu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.