关于海康威视部分门禁对讲产品存在安全漏洞的安全公告

交通秩序管控子行业面向交通管理秩序部门，完成交通信号控制、道路组织优化、交通评价诊断、诱导信息发布、静态交通管理、重点车辆管控等重点业务内容。随着大数据、物联网等技术的大力发展，海康威视秩序管控系统在新技术赋能下，充分发挥信号机及前端物联感知设备的边缘节点、边缘域的数据感知、汇聚、处理、控制的优势，结合AI TRAFFIC 交通认知引擎能力、数据治理能力、精细化场景算法应用能力，建立边缘节点、边缘域、云中心分级统一的智能应用系统，实现交通问题发现、交通时空划分、信号配时优化、动态车道管理、交通效果评价、交通仿真推演、交通诱导与信息发布、动态限时停车、重点车辆管控等核心应用能力，支撑不同城市级别和管控需求的用户开展交通出行管理服务，让管理更高效、让道路更有序、让出行更美好。

公告编号：HSRC-202306-01

公告来源：海康威视安全应急响应中心

初始发布时间：2023-06-14

漏洞概述：

海康威视部分门禁对讲产品存在以下安全漏洞

（1）部分门禁产品存在会话固定漏洞，产品在用户登录成功后未更新会话标识。攻击者需与合法用户在同一时刻请求会话标识，并通过伪造已登录合法用户的IP和会话标识获得设备操作权限。

（2）部分门禁对讲产品存在未授权修改设备网络配置漏洞，攻击者需在同一局域网内通过向存在漏洞的接口发送特定的数据包修改设备网络配置。

海康威视已发布版本修复该漏洞。

漏洞编号：

CVE-2023-28809

CVE-2023-28810

漏洞评分：

该漏洞使用CVSS v3标准进行分级评分（http://www.first.org/cvss/specification-document）

CVE-2023-28809

基础得分：7.5 (CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)

临时得分：6.7 (/E:P/RL:O/RC:C)

CVE-2023-28810

基础得分：4.3 (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)

临时得分：3.9 (E:P/RL:O/RC:C)

影响版本和修复版本：（如升级失败，可点击 在线客服 获取帮助）

受影响的设备名称	受影响范围	受影响版本号	修复程序下载
DS-K1T341AXX	CVE-2023-28809 & CVE-2023-28810	V3.2.30_build221223及之前的版本	下载
DS-K1T671BXXX		V3.3.11_build230112及之前的版本	下载
DS-K5671BXXX
DS-K5604BXXX
DS-K1T320XXX		V3.5.0_build220706及之前的版本	下载
DS-KH85系列	CVE-2023-28810	V2.1.83 build230131及之前的版本	下载
DS-KH63系列		V2.1.69_build220921及之前的版本	下载
DS-KH95系列		V2.1.75_build230206及以前的版本	下载

版本获取途径：

用户可通过海康威视官网获取补丁/更新版本。

漏洞来源：

以上漏洞是由安全研究者Andres Hinnosaar和Peter Szot分别报告给海康威视HSRC。

联系渠道：

关于海康威视产品和解决方案的安全问题，可通过 hsrc@hikvision.com联系HSRC。海康威视对所有关注我司产品的安全研究人员表示感谢！

关于海康威视部分门禁对讲产品存在安全漏洞的安全公告

安全公告-海康威视部分门禁对讲产品存在安全漏洞

获得更好的体验