פגיעויות אבטחה במוצרים מסוימים של HikCentral

מספר סידורי (SN) HSRC-202508-01

עריכה: מרכז תגובת האבטחה של Hikvision (HSRC)

תאריך פרסום ראשוני: ‎28-08-2025

סיכום

(1) קיימת פגיעות מסוג CSV Injection בחלק מגרסאות HikCentral Master Lite. פגיעות זו עלולה לאפשר לתוקף להזריק פקודות הרצה באמצעות נתוני CSV זדוניים.

(2) קיימת פגיעות מסוג Unquoted Service Path בחלק מגרסאות HikCentral FocSign. פגיעות זו עלולה לאפשר למשתמש מאומת לבצע העלאת הרשאות באמצעות גישה מקומית.

(3) קיימת פגיעות מסוג Access Control בחלק מגרסאות HikCentral Professional. פגיעות זו עלולה לאפשר למשתמש לא מאומת להשיג הרשאות מנהל.

מזהה CVE

CVE-2025-39245

CVE-2025-39246

CVE-2025-39247

דירוג (Scoring)

לצורך דירוג פגיעויות אלו אומץ תקן CVSS v3.1

(http://www.first.org/cvss/specification-document）

CVE-2025-39245

דירוג בסיס (Base Score): 4.7 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L)

CVE-2025-39246

דירוג בסיס (Base Score): 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)

CVE-2025-39247

דירוג בסיס (Base Score): 8.6 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N)

גרסאות מושפעות ותיקון

שם המוצר	מזהה CVE (CVE ID)	גרסאות מושפעות	גרסה מתוקנת
HikCentral Master Lite	CVE-2025-39245	גרסאות בין ‎V2.2.1 ל־V2.3.2	V2.4.0
HikCentral FocSign	CVE-2025-39246	גרסאות בין ‎V1.4.0 ל־V2.2.0	V2.3.0
HikCentral Professional	CVE-2025-39247	גרסאות בין ‎V2.3.1 ל־V2.6.2 גרסה ‎V3.0.0	V2.6.3 או V3.0.1

פתרון וכיצד לגשת

עברו כל טווחי הגרסאות הבסיסיות המושפעות, אנו ממליצים לשדרג לגרסה הבסיסית העדכנית ביותר (2.6.3 או 3.0.1 ואילך), בהתאם לתוכנית השקת התוכנה האזורית. ניתן להוריד את אלה מדף תמיכת התוכנה.
https://www.hikvision.com/europe/support/download/software/

לחלופין, עבור כל גרסה מושפעת - בין אם מדובר בפרויקטים בסיסיים או מותאמים אישית של HikCentral Professional - זמין תיקון ייעודי לפגיעות. ניתן להוריד ולגשת לכל תיקון מדף תמיכת התוכנה האזורי המתאים. דוגמה: עבור גרסה 2.6.2, התיקון מדף התמיכה של האיחוד האירופי מופיע למטה.
https://www.hikvision.com/europe/support/download/software/hikcentral-professional-v2-6-2/