Zranitelnost zabezpečení v některých produktech Hikvision Hybrid SAN/Cluster Storage

SN č. HSRC-202304-01

Edit: HSRC (centrum bezpečnostní odpovědnosti Hikvision):

Datum prvního vydání: 10.04.2023

Shrnutí

Některé produkty Hikvision Hybrid SAN/Cluster Storage mají chybu v řízení přístupu, kterou lze využít k získání oprávnění správce. Útočník může zranitelnost zneužít odesláním podvržených zpráv do postižených zařízení.

Společnost Hikvision vydala verzi opravující tuto chybu.

CVE ID

CVE-2023-28808

Bodování

V tomto bodování zranitelností je použita verze CVSS v3.

(http://www.first.org/cvss/specification-document)

CVE-2023-28808

Základní skóre: 9.1(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)

Časové skóre: 8.2 (E:P/RL:O/RC:C).

Napadené verze a opravy

Název produktu	Napadené verze	Stáhnout záplatu	Návod k obsluze
DS-A71024/48/72R	Verze nižší než V2.3.8-8 (včetně V2.3.8-8)	Oprava zranitelnosti zabezpečení Hybrid SAN-230407.zip	Uživatelská příručka pro opravu zranitelnosti zabezpečení Hybrid SAN_230410
DS-A80624S
DS-A81016S
DS-A72024/72R
DS-A80316S
DS-A82024D
DS-A71024/48R-CVS	Verze nižší než V1.1.4 (včetně verze V1.1.4)	Oprava zranitelnosti zabezpečení Cluster Storage-230407.zip	Uživatelská příručka pro opravu zranitelnosti zabezpečení Cluster_230410

Předpoklad

Útočník má k zařízení síťový přístup.

Krok útoku

Pošlete speciálně vytvořenou škodlivou zprávu.

Získání opravených verzí

Uživatelé si mohou stáhnout záplaty/aktualizace na oficiálních stránkách společnosti Hikvision.

Zdroj informací o zranitelnosti

Tuto zranitelnost nahlásili HSRC Souvik Kandar, Arko Dhar z týmu Redinent Innovations v Indii a také bychom chtěli ocenit spolupráci indického Národního týmu pro reakci na počítačové hrozby (CERT-In), který s námi koordinoval řešení této zranitelnosti.

Kontaktujte nás

Chcete-li nahlásit jakékoli bezpečnostní problémy nebo zranitelnosti v produktech a řešeních společnosti Hikvision, obraťte se na centrum bezpečnostní odpovědnosti Hikvision na adrese hsrc@hikvision.com.

Společnost Hikvision by ráda poděkovala všem bezpečnostním výzkumníkům za pozornost, kterou věnují našim produktům.