Vulnérabilités de sécurité dans le plug-in du navigateur Web Hikvision LocalServiceComponents

SN No. HSRC-202311-02

Edit : Centre de réponse de sécurité Hikvision (HSRC)

Date de publication initiale: 2023-11-23

résumé

1. Une vulnérabilité de débordement de mémoire tampon dans un plug-in de navigateur web pourrait permettre à un attaquant d'exploiter la vulnérabilité en envoyant des messages élaborés aux ordinateurs installés avec ce plug-in, ce qui pourrait conduire à l'exécution de code arbitraire ou provoquer une exception de processus du plug-in.

2. Un attaquant pourrait exploiter une vulnérabilité en envoyant des messages élaborés aux ordinateurs installés avec ce plug-in pour modifier les paramètres du plug-in, ce qui pourrait entraîner le téléchargement de fichiers malveillants sur les ordinateurs concernés.

ID CVE

CVE-2023-28812

CVE-2023-28813

Notation

CVSS v3.1 est repris dans cette vulnérabilité scoring(http://www.first.org/cvss/specification-document)

CVE-2023-28812

Base score：9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H)

CVE-2023-28813

Base score：8.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H)

Versions concernées et correctifs

Nom du produit	Versions affectées	Versions résolues
LocalServiceComponents	version 1.0.0.78 et les versions antérieures	1.0.0.81

Obtention de la version corrigée

Les utilisateurs peuvent télécharger le correctif sur le site officiel de Hikvision (https://www.hikvision.com/en/support/tools/hitools/cl31f95c645ddb0235/)

Source d'informations sur la vulnérabilité

Cette vulnérabilité est signalée à HSRC par Team.ENVY (KITRI BoB 12th).

Contactez-nous

Pour signaler tout problème de sécurité ou toute vulnérabilité dans les produits et solutions Hikvision, veuillez contacter le Hikvision Security Response Center à l'adresse hsrc@hikvision.com.

Hikvision tient à remercier tous les chercheurs en sécurité pour l'attention qu'ils portent à ses produits.