由于严重缺陷，海康威视摄像机可能被远程黑客攻击
一個(gè)被跟蹤為 CVE-2021-36260 的關(guān)鍵問(wèn)題影響了 70 多個(gè)海康威視設(shè)備模型，并且可能允許攻擊者接管它們。
一個(gè)跟蹤為 CVE-2021-36260 的嚴(yán)重漏洞影響了 70 多個(gè)海康威視攝像頭和 NVR 型號(hào)，并允許攻擊者接管設(shè)備。
該漏洞是海康威視 IP 攝像機(jī)/NVR 固件中的一個(gè)未經(jīng)身份驗(yàn)證的遠(yuǎn)程代碼執(zhí)行 (RCE) 漏洞，由安全研究人員發(fā)現(xiàn)，該安全研究人員以“Watchful IP”為綽號(hào)上網(wǎng)。“即使使用最新的固件（截至 2021 年 6 月 21 日），海康威視攝像機(jī)最近的大多數(shù)攝像機(jī)產(chǎn)品系列都容易受到嚴(yán)重的遠(yuǎn)程未經(jīng)身份驗(yàn)證的代碼執(zhí)行漏洞的影響。”?專家寫(xiě)到。“
“這允許攻擊者通過(guò)不受限制的 root shell 獲得對(duì)設(shè)備的完全控制，這比設(shè)備所有者擁有的訪問(wèn)權(quán)限要多得多，因?yàn)樗麄儽幌拗圃谝粋€(gè)有限的“受保護(hù)的 shell”（psh）中，它將輸入過(guò)濾到預(yù)定義的一組有限的，主要是信息性的命令。”
在攻破 IP 攝像機(jī)后，攻擊者還可以使用被黑設(shè)備訪問(wèn)內(nèi)部網(wǎng)絡(luò)，從而對(duì)使用這些設(shè)備的基礎(chǔ)設(shè)施構(gòu)成風(fēng)險(xiǎn)。
研究人員指出，利用該問(wèn)題不需要用戶交互，攻擊者只需要訪問(wèn)http(s)服務(wù)器端口（通常為80/443）即可。
“鑒于在敏感地點(diǎn)部署這些攝像頭，甚至關(guān)鍵基礎(chǔ)設(shè)施也可能面臨風(fēng)險(xiǎn)，”該帖子繼續(xù)說(shuō)道。“不需要用戶名或密碼，也不需要由相機(jī)所有者發(fā)起任何操作。相機(jī)本身的任何記錄都無(wú)法檢測(cè)到它。”
專家指出，自 2016 年以來(lái)開(kāi)發(fā)的每個(gè)固件都經(jīng)過(guò)測(cè)試，發(fā)現(xiàn)存在漏洞。
該漏洞影響海康威視攝像機(jī)和 NVR，供應(yīng)商發(fā)布的安全公告中公布了受影響產(chǎn)品的列表。
“一些海康威視產(chǎn)品的 Web 服務(wù)器中的命令注入漏洞。由于輸入驗(yàn)證不充分，攻擊者可以利用該漏洞通過(guò)發(fā)送一些帶有惡意命令的消息來(lái)發(fā)起命令注入攻擊。”?。
據(jù)海康威視稱，該漏洞是由于輸入驗(yàn)證不足，可以通過(guò)向易受攻擊的設(shè)備發(fā)送特制消息來(lái)利用。
該公司表示，只有當(dāng)攻擊者能夠訪問(wèn)設(shè)備網(wǎng)絡(luò)或設(shè)備與 Internet 有直接接口時(shí)，攻擊者才能利用該漏洞。
該漏洞于 6 月向供應(yīng)商報(bào)告，該公司于 9 月 19 日發(fā)布了固件更新。
總結(jié)
以上是生活随笔為你收集整理的由于严重缺陷，海康威视摄像机可能被远程黑客攻击的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
