Vulnérabilités de sécurité dans certains produits HikCentral

N° de série HSRC-202508-01

Editeur : HSRC (Centre de réponse de sécurité Hikvision) :

Date de sortie initiale 2025-08-28

résumé

(1) Il existe une vulnérabilité d'injection CSV de certaines versions de HikCentral Master Lite. Cela pourrait permettre à un pirate d’injecter des commandes exécutables via des données CSV malveillantes.

(2) Il existe une vulnérabilité de chemin de service non cité de certaines versions de HikCentral FocSign. Cela pourrait permettre à un utilisateur authentifié d’activer potentiellement l’escalade de privilège via un accès local.

(3) Il existe une vulnérabilité d'environnement réseau pour certaines versions de HikCentral Professional. Cela pourrait permettre à un utilisateur non authentifié d’accéder à la plateforme de manière administrative

ID CVE

CVE-2025-39245

CVE-2025-39246

CVE-2025-39247

Notation

CVSS v3.1 est adopté pour évaluer ces vulnérabilités

(http://www.first.org/cvss/specification-document)

CVE-2025-39245

Notation de base : 4.7 (CVSS :3.1/AV :N/AC :L/PR :N/UI :R/S :C/C :N/I :N/A :L)

CVE-2025-39246

Notation de base : 5.3 (CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :U/C :N/I :L/A :N)

CVE-2025-39247

Notation de base : 8.6 (CVSS :3.1/AV :N/AC :L/PR :N/UI :N/S :C/C :H/I :N/A :N)

Versions affectées

Nom du produit	ID CVE	Versions affectées
HikCentral Master Lite	CVE-2025-39245	Versions entre V2.2.1 et V2.3.2
HikCentral FocSign	CVE-2025-39246	Versions entre V1.4.0 et V2.2.0
HikCentral Professional	CVE-2025-39247	Versions entre V2.3.1 et V2.6.2 Version V3.0.0

Solution et comment y accéder

Pour toutes les plages de versions de référence concernées, nous recommandons de passer à la dernière version de référence (2.6.3 ou 3.0.1 et les versions ultérieures), en fonction du plan de lancement du logiciel régional de l’UE. Ceux-ci peuvent être téléchargés à partir de la page d’assistance logicielle régionale de l’UE (lien UE ci-dessous)
https://www.hikvision.com/europe/support/download/software/

Un correctif de vulnérabilité dédié est également disponible pour chaque version affectée, qu’il s’agisse de projets HikCentral Professional de base ou personnalisés. Chaque correctif peut être téléchargé et consulté à partir de la page d’assistance logicielle régionale correspondante. Exemple : Pour la version 2.6.2, le correctif de la page d’assistance UE est présenté ci-dessous.
https://www.hikvision.com/europe/support/download/software/hikcentral-professional-v2-6-2/

CVE-2025-39247_FixPack
- Taille : 31,1 Mo
  
  MD5 : 95e235f3f84db124dd7dab7223ab4e0a
Télécharger

Télécharger

Si nécessaire, veuillez contacter votre installateur régional, votre intégrateur, votre distributeur, l’assistance Hikvision locale ou support.eu@hikvision.com pour obtenir de l’aide dans la mise en œuvre du correctif. Le correctif doit être installé sur le serveur central HikCentral Professional avec des autorisations administratives.

Pendant la mise en œuvre du correctif, un code d’autorisation de sécurité sera requis. Vous pouvez l’obtenir en contactant votre service d’assistance Hikvision local ou en envoyant un e-mail à support.eu@hikvision.com

Informations sur la source de vulnérabilité

Ces vulnérabilités ont été signalées au HSRC par Yousef Alfuhaid / Nader Alharbi (soumission conjointe), Eduardo Bido et le Dr Matthias Lutter.

Contactez-nous

Pour signaler tout problème de sécurité ou toute vulnérabilité dans les produits et solutions Hikvision, veuillez contacter Hikvision Security Response Center à l'adresse hsrc@hikvision.com.

Hikvision tient à remercier tous les chercheurs en sécurité pour l’attention que vous portez à nos produits.