Veelgestelde vragen: Kwetsbaarheid opdrachtinjectie

V: Wat is de kwetsbaarheid van de opdrachtinjectie?

A: Zoals vermeld in de officiële veiligheidskennisgeving HSRC-202109-01 van Hikvision, werd een kwetsbaarheid van opdrachtinjectie gevonden in de webserver van sommige Hikvision-producten. Door onvoldoende invoervalidatie kan een aanvaller mogelijk de kwetsbaarheid benutten om een aanval met opdrachtinjectie te starten door een speciaal samengesteld bericht met kwaadaardige opdrachten te verzenden.

V: Waar kan ik meer informatie vinden?

A: • Hikvision beveiligingsmelding. Het bedrijf heeft op 18 september een beveiligingsmelding op de website van het bedrijf gepubliceerd en op 19 september op sociale media-accounts geplaatst.

• Rapport openbaarmaking beveiligingsonderzoeker

V: Is dit een Chinese overheidsachterdeur?

A: Nee. Hikvision heeft geen overheidsachterdeuren in onze producten. Watchful_IP, de beveiligingsonderzoeker die deze kwetsbaarheid verantwoord meldde aan Hikvision, verklaarde: “Nee, zeker NIET. Je zou het niet zo doen. En niet alle firmwaretypen worden beïnvloed.”

V: Wat heeft Hikvision gedaan om de kwetsbaarheid aan te pakken?

A: Hikvision volgt de principes van verantwoorde openbaarmaking en het standaard gecoördineerde openbaarmakingsproces voor kwetsbaarheden dat algemeen wordt geaccepteerd in wereldwijde sectoren en betrekking heeft op de mechanismen waarmee kwetsbaarheden op een gecontroleerde manier worden gedeeld en bekendgemaakt om de eigenaren en eindgebruikers van software het beste te beschermen.

Op 23 juni 2021 werd Hikvision gecontacteerd door een beveiligingsonderzoeker, genaamd Watchful IP, die een mogelijke kwetsbaarheid in een Hikvision-camera meldde. Zodra we de ontvangst van dit rapport hebben bevestigd, werkte Hikvision rechtstreeks met de onderzoeker om de succesvolle beperking van de gemelde kwetsbaarheid te patchen en te verifiëren.

Zoals de onderzoeker in zijn openbaarmakingsrapport opmerkte, was hij “tevreden om te weten dat dit probleem werd opgelost op de manier die werd aanbevolen.”

Nadat het bedrijf en de onderzoeker er beiden voor hadden gezorgd dat de kwetsbaarheid correct was gepatcht door de bijgewerkte firmware, hebben we op 19 september de beveiligingsmelding op de website en sociale media van het bedrijf uitgebracht.

V: Wat is de aanbeveling van het bedrijf met betrekking tot ‘port forwarding’?

A: Een blog in de sector bevatte de misleidende informatie met betrekking tot de aanbeveling van de onderneming over ‘port forwarding’ in haar recente bericht. Houd er rekening mee dat Hikvision volgens de richtlijn van het bedrijf “Over port forwarding” zijn eindgebruikers waarschuwt tegen port forwarding en adviseert dat “port forwarding alleen mag worden geconfigureerd wanneer dit absoluut noodzakelijk is.”

Wanneer eindgebruikers bevestigend kiezen voor het configureren van port forwarding voor apparaten die via het internet moeten worden geopend, ondersteunt Hikvision de volgende best practices voor cybersecurity: (1) "minimaliseer de poortnummers die worden blootgesteld aan het internet", (2) "vermijd gemeenschappelijke poorten en configureer ze opnieuw naar aangepaste poorten" en "IP-filtering inschakelen"., (3) Stel een sterk wachtwoord in en (4) upgrade tijdig naar de nieuwste apparaatfirmware die door Hikvision is uitgebracht.

V: Hoe kan ik de risico's van mijn Hikvision-apparaten evalueren?

A: Om deze kwetsbaarheid te benutten, moet een aanvaller zich op hetzelfde netwerk bevinden als het kwetsbare apparaat. Met andere woorden, als de aanvaller het inlogscherm van een kwetsbaar apparaat kan bekijken, kunnen ze het aanvallen. Als ze niet bij het inlogscherm van een kwetsbaar apparaat kunnen komen, kunnen ze de kwetsbaarheid niet exploiteren.

Om het risiconiveau van een kwetsbaar apparaat te evalueren, moet u controleren of het betreffende model zijn http/https-servers (meestal 80/443) rechtstreeks blootstelt aan het internet (WAN), wat een potentiële aanvaller de mogelijkheid zou geven om dat apparaat vanaf het internet aan te vallen. Hieronder staan enkele voorbeelden:

1 LAN-netwerk zonder internettoegang (laag risico)

Een potentiële aanvaller heeft geen toegang tot de webserver van het apparaat vanaf het internet, dus het risico is laag (aanvaller moet LAN-toegang hebben om deze kwetsbaarheid te benutten, dat bedoelen we met laag risico)

2 WAN-netwerk met firewall die device http(s) server blokkeert (laag risico)

Aangezien de potentiële aanvaller nog steeds geen toegang heeft tot het web van het apparaat via internet, wordt het systeem in deze situatie nog steeds beschouwd als een laag risico

3 Hik-Connect en Hik-ProConnect (laag risico)

HC en HPC zijn speciale gevallen van het bovenstaande tweede scenario, http(s) is/zijn niet nodig bij HC/HPC-service, dus het is zo veilig als normaal

4 VPN-toegang vanaf internet (laag risico)

VPN (Virtual Private Network) stelt alleen geverifieerde gebruikers in staat om in te loggen op en toegang te krijgen tot apparaten vanaf het netwerk van de locatie, dus het is een beveiligde manier om toegang te krijgen tot het apparaat en niet gemakkelijk aan te vallen

5-poorts expeditie (hoog risico)

Port forwarding is een eenvoudige en goedkope manier voor gebruikers om op afstand toegang te krijgen tot een apparaat, maar port forwarding brengt extra risico's met zich mee omdat het de firewall vertelt om het verkeer naar dat apparaat niet te blokkeren vanaf het internet op bepaalde poorten. Daarom loopt het apparaat met de huidige kwetsbaarheid een hoog risico om aangevallen te worden, zolang een potentiële aanvaller toegang heeft tot een apparaat via de doorgestuurde http(s)-poorten.

6 DDNS (hoog risico)

Dynamic DNS (DDNS) maakt ook gebruik van port forwarding, zodat een potentiële aanvaller nog steeds toegang kan hebben tot een apparaat vanaf het internet, waardoor het apparaat een hoog risico loopt om aangevallen te worden.

7 Directe WAN-toegang (hoog risico)

Sommige sites installeren apparaten rechtstreeks op internet (WAN). Zolang het apparaat een open IP-adres heeft en de http(s)-poorten zijn blootgesteld aan internet, loopt het apparaat een hoog risico om aangevallen te worden.

Kortom, de eenvoudigste manier om het risiconiveau van het systeem te evalueren is door te controleren of u rechtstreeks toegang hebt tot de webpagina van het apparaat zonder extra netwerkvariatie. Zo ja, dan moet het systeem als een hoog risico worden beschouwd.

Voor zover we weten is er tot op heden geen openbaar bewijs van concept of kwaadwillig gebruik van deze kwetsbaarheid. Nu de patch echter is vrijgegeven en aanvallers weten dat deze kwetsbaarheid bestaat, zullen ze ernaar zoeken. Als u een getroffen camera/NVR hebt waarvan de http(s)-service rechtstreeks op het internet wordt blootgesteld, raadt Hikvision u ten zeerste aan om uw apparaat onmiddellijk te patchen (aanbevolen) en een veiligere oplossing te gebruiken, zoals een VPN.

OPMERKING: Dit document behandelt het risico op een internetaanval. Er wordt vanuit gegaan dat uw interne netwerk goed is gesegmenteerd en dat een bedreigingsactor geen toegang heeft gekregen tot uw interne netwerk. Om het risico verder te beoordelen, moet u bepalen of uw interne netwerk vertrouwd is en zo niet, de juiste maatregelen nemen om uw videobewakingsnetwerk te patchen en te segmenteren van andere delen van uw interne netwerk.

Contact

Hik-Partner Pro

Security Business Assistant. At Your Fingertips. Learn more

Scan and download the app

Download

Hik-Partner Pro

Get a better browsing experience

You are using a web browser we don’t support. Please try one of the following options to have a better experience of our web content.