Security Vulnerability in Some Hikvision Hybrid SAN Products

SN No.HSRC-202206-01

Edit: Pusat Respons Keamanan Hikvision (HSRC)

Tanggal Rilis Awal: 2022-06-23

Ringkasan

Modul web di beberapa produk Hikvision Hybrid SAN/Cluster Storage memiliki kerentanan keamanan berikut:

1) Karena validasi input yang tidak mencukupi, penyerang dapat mengeksploitasi kerentanan untuk menjalankan perintah terbatas dengan mengirimkan pesan dengan perintah berbahaya ke perangkat yang terpengaruh.

2) Karena validasi input yang tidak mencukupi, penyerang dapat mengeksploitasi kerentanan terhadap serangan XSS dengan mengirimkan pesan dengan perintah berbahaya ke perangkat yang terpengaruh.

CVE ID

CVE-2022-28171

CVE-2022-28172

Penilaian

CVSS v3 diadopsi dalam penilaian kerentanan ini.

(http://www.first.org/cvss/specification-document)

CVE-2022-28171

Skor dasar: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

Skor sementara: 6.7 (/E:P/RL:O/RC:C)

CVE-2022-28172

Skor dasar : 6.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N)

Skor sementara: 5.9 (E:P/RL:O/RC:C)

Versi dan Perbaikan yang Terkena Dampak

Nama Produk	Versi yang Terpengaruh
DS-A71024/48/72R	Versi di bawah V2.3.8-6 (including V2.3.8-6)
DS-A80624S
DS-A81016S
DS-A72024/72R
DS-A80316S
DS-A82024D
DS-A71024/48R-CVS	Versi di bawah V1.1.4 (including V1.1.4)
DS-A72024/48R-CVS	Versi di bawah V1.1.4 (including V1.1.4)

Prasyarat
Penyerang memiliki akses jaringan ke perangkat.

Langkah Serangan
Kirim pesan berbahaya yang dibuat khusus.

Mendapatkan Versi Tetap
Pengguna dapat mengunduh tambalan/pembaruan di situs web resmi Hikvision (Klik di sini) untuk mengurangi kerentanan ini.

Hubungi Kami

Untuk melaporkan masalah keamanan atau kerentanan apa pun dalam produk dan solusi Hikvision, silakan hubungi Pusat Tanggapan Keamanan Hikvision di hsrc@hikvision.com.

Hikvision ingin mengucapkan terima kasih kepada semua peneliti keamanan yang membantu mengidentifikasi dan mengurangi potensi kerentanan dalam produk kami untuk memastikan bahwa solusi kami melindungi orang, tempat, dan aset sementara data pengguna dilindungi.

Lihat Surat Mitra untuk mendapatkan informasi lebih lanjut >>