Security Notification - Command Injection Vulnerability in Some Hikvision products

Thông Báo Bảo Mật - Phát Hiện Lỗ Hổng Bảo Mật Trong Một Số Mã Hiệu Sản Phẩm Của Hikvision

Mã số:  HSRC-202109-01

Chỉnh sửa bởi: Hikvision Security Response Center (HSRC) (Trung tâm phản hồi bảo mật Hikvision)

Ngày phát hành: 19-09-2021

Mô tả:

Lỗ hổng chèn lệnh trong máy chủ web của một số sản phẩm Hikvision. Kiểu tấn công xác thực đầu vào, kẻ tấn công có thể khai thác lỗ hổng bằng cách chèn những thông báo độc hại.

CVE ID (Mã danh sách lỗi bảo mật công khai)

CVE-2021-36260

Điểm số:

CVSS v3 đã thông qua công bố điểm số lỗ hổng (http://www.first.org/cvss/specification-document)
Điểm cơ bản: 9,8 (CVSS: 3,1 / AV: N / AC: L / PR: N / UI: N / S: U / C: H / I: H / A: H)
Điểm tạm thời: 8,8 (E: P / RL: O / RC: C)

Các phiên bản bị ảnh hưởng và phiên bản đã giải quyết:

Thông tin về các phiên bản bị ảnh hưởng và phiên bản đã giải quyết:

 

Mã sản phẩm

Phiên bản ảnh hưởng

DS-2CVxxx1
DS-2CVxxx5
DS-2CVxxx6

Phiên bản phát hành trước ngày 25.06.21

IPC-xxxx

DS-2CD1xx1

DS-2CD1x23
DS-2CD1x43(B)
DS-2CD1x43(C)
DS-2CD1x43G0E
DS-2CD1x53(B)
DS-2CD1x53(C)

DS-2CD1xx7G0

DS-2CD2xx6G2
DS-2CD2xx7G2

DS-2CD2x21G0

DS-2CD2xx3G2

DS-2CD3xx6G2
DS-2CD3xx7G2

DS-2CD3xx7G0E

DS-2CD3x21G0
DS-2CD3x51G0

DS-2CD3xx3G2

DS-2CD4xx0
DS-2CD4xx6
DS-2CD5xx7
DS-2CD5xx5
iDS-2XM6810
iDS-2CD6810

DS-2XE62x7FWD(D)
DS-2XE30x6FWD(B)
DS-2XE60x6FWD(B)
DS-2XE62x2F(D)
DS-2XC66x5G0
DS-2XE64x2F(B)

DS-2CD7xx6G0
DS-2CD8Cx6G0

KBA18(C)-83x6FWD

(i)DS-2DExxxx

(i)DS-2PTxxxx

(i)DS-2SE7xxxx

DS-2DYHxxxx

DS-DY9xxxx

PTZ-Nxxxx

DS-2DF5xxxx
DS-2DF6xxxx
DS-2DF6xxxx-Cx
DS-2DF7xxxx
DS-2DF8xxxx
DS-2DF9xxxx

iDS-2PT9xxxx

iDS-2SK7xxxx
iDS-2SK8xxxx

iDS-2SR8xxxx

iDS-2VSxxxx

DS-2TBxxx
DS-Bxxxx
DS-2TDxxxxB

Phiên bản phát hành trước ngày 02.07.21

DS-2TD1xxx-xx
DS-2TD2xxx-xx

DS-2TD41xx-xx/Wx
DS-2TD62xx-xx/Wx
DS-2TD81xx-xx/Wx
DS-2TD4xxx-xx/V2
DS-2TD62xx-xx/V2
DS-2TD81xx-xx/V2

DS-76xxNI-K1xx(C)
DS-76xxNI-Qxx(C)
DS-HiLookI-NVR-1xxMHxx(C)
DS-HiLookI-NVR-2xxMHxx(C)

V4.30.210 phát hành ngày 24.12.20 - V4.31.000 phát hành ngày 05.11.21

DS-71xxNI-Q1xx(C)
DS-HiLookI-NVR-1xxMHxx(C)
DS-HiLookI-NVR-1xxHxx(C)

V4.30.300 phát hành  ngày 21.02.21 - V4.31.100 phát hành ngày 05.11.21

Khả năng khai thác:

Kẻ tấn công có khả năng truy cập vào mạng thiết bị hoặc thiết bị có liên kết trực tiếp với internet.

Bước tấn công:

Gửi một tin nhắn có thiết kế đặc biệt.

Phiên bản xử lý:

Người dùng nên tải xuống phiên bản cập nhật để đề phòng lỗ hổng tiềm ẩn này. Phiên bản cập nhật có sẵn trên web chính thức của Hikvision.

Link tải xuống e: Firmware download

Nguồn thông tin về lỗ hổng bảo mật:

Lỗ hổng bảo mật này được báo cáo cho HSRC bởi nhà nghiên cứu bảo mật Watchfull IP của Vương quốc Anh.

Liên hệ:

Nếu bạn có vấn đề hoặc lo lắng về bảo mật, vui lòng liên hệ trung tâm ứng cứu bảo mật Hikvision tại hsrc@hikvision.com.

2021-09-19 V1.0 INITIAL

2021-09-23 V1.1 UPDATED: Updated Affected Versions

2021-09-24 V1.2 UPDATED: Updated Affected Versions

Download

This website uses necessary cookies to enable the website to function well. We would like to use additional cookies to provide you the best experience on our website. For more information, please see our cookie policy.

Liên hệ với chúng tôi