Cabecera-v2-web.jpg

Vulnerabilidad crítica en productos Hikvision


28/09/2021

Una vulnerabilidad crítica identificada como CVE-2021-36260, afecta al firmware de las cámaras IP de Hikvision, tanto a los firmwares más recientes (al 21 de junio de 2021), como también otros más antiguos desde al menos el año 2016. Esta vulnerabilidad no solo afecta a cámaras IP, sino que también está presente en algunos modelos de NVR. La vulnerabilidad se debe a una validación de entrada insuficiente y puede explotarse enviando mensajes especialmente diseñados a dispositivos vulnerables.

HIKVISION IP Camera Vulnerability Firmware Upgrade - Lakson

Un actor malintencionado podría obtener el control total del dispositivo simplemente con un Shell raíz sin acceso de administrador. Según indican los investigadores, incluso podrían tener más permisos que los propios propietarios del dispositivo, ya que están restringidos a un Shell protegido limitado.

El atacante únicamente necesitaría acceso al puerto del servidor HTTPS, que generalmente suele ser 80/443. No se requeriría nombre de usuario, ni contraseña. Además, el propietario de la cámara no tendría que realizar ninguna acción y todo el proceso sería indetectable.

Por su forma de ejecución y el control que puede tomar un hipotético atacante, ha obtenido una puntuación de 9,8 que la convierte en una vulnerabilidad de severidad crítica.

Para ver la lista detallada de los productos afectados ingrese al siguiente enlace: Notificación de Seguridad Hikvision.

La explotación exitosa de la vulnerabilidad podría permitir a un atacante ejecutar código remoto (RCE) y obtener el control total del sistema.

Para solucionar esta vulnerabilidad debe instalar las actualizaciones del fabricante disponibles en los medios oficiales del proveedor: https://www.hikvision.com/es-la/support/download/firmware1/

En el caso de que no pueda actualizar el firmware del sistema afectado debe adoptar medidas de mitigación temporal tal como despublicar y/o restringir el acceso al servicio de administración web desde Internet.

Información adicional:


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tecnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11