hikvision

HIKVISION Sicherheitslücke CVE-2021-36260

Sehr geehrte Partner,

wir möchten Sie über eine Sicherheitslücke in einigen HIKVISION Produkten informieren.

Hikvision Security Response Center (HSRC)
Datum der Erstveröffentlichung: 2021-09-19

Zusammenfassung:

Eine Command-Injection-Schwachstelle im Webserver einiger Hikvision-Produkte. Aufgrund der unzureichenden Eingabevalidierung können Angreifer die Schwachstelle ausnutzen, um einen Command Injection Angriff zu starten, indem sie einige Nachrichten mit schädlichen Befehlen senden.

CVE ID:
CVE-2021-36260

Bewertung:
CVSS v3 wird in dieser Schwachstellenbewertung übernommen (http://www.first.org/cvss/specification-document)
Basisbewertung:: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Temporäre Bewertung: 8.8 (E:P/RL:O/RC:C)

Betroffene Versionen und behobene Version:
Informationen über betroffene und behobene Versionen:



PRODUKTNAME
BETROFFENE VERSION(EN)

DS-2CVxxx1
DS-2CVxxx5
DS-2CVxxx6

HWI-xxxx

IPC-xxxx

DS-2CD1xx1

DS-2CD1x23
DS-2CD1x43(B)
DS-2CD1x43(C)
DS-2CD1x43G0E
DS-2CD1x53(B)
DS-2CD1x53(C

DS-2CD1xx7G0

DS-2CD2xx6G2
DS-2CD2xx7G2

DS-2CD2xx2WD

DS-2CD2x21G0

DS-2CD3xx6G2
DS-2CD3xx7G2

DS-2CD3xx7G0E

DS-2CD3x21G0
DS-2CD3x51G0

DS-2CD3xx3G2

DS-2CD4xx0
DS-2CD4xx6
DS-2CD5xx7
DS-2CD5xx5
iDS-2XM6810
iDS-2CD6810

DS-2XE62x7FWD(D)
DS-2XE30x6FWD(B)
DS-2XE60x6FWD(B)
DS-2XE62x2F(D)
DS-2XC66x5G0
DS-2XE64x2F(B)

DS-2CD7xx6G0
DS-2CD8Cx6G0

KBA18(C)-83x6FWD

(i)DS-2DExxxx

(i)DS-2PTxxxx

(i)DS-2SE7xxxx

DS-2DYHxxxx

DS-DY9xxxx

PTZ-Nxxxx

HWP-Nxxxx

DS-2DF5xxxx
DS-2DF6xxxx
DS-2DF6xxxx-Cx
DS-2DF7xxxx
DS-2DF8xxxx
DS-2DF9xxxx

iDS-2PT9xxxx

iDS-2SK7xxxx
iDS-2SK8xxxx

iDS-2SR8xxxx

iDS-2VSxxxx

Versionen mit Build-Zeitpunkt vor 210625

DS-2TBxxx
DS-Bxxxx
DS-2TDxxxxB

DS-2TD1xxx-xx
DS-2TD2xxx-xx

DS-2TD41xx-xx/Wx
DS-2TD62xx-xx/Wx
DS-2TD81xx-xx/Wx
DS-2TD4xxx-xx/V2
DS-2TD62xx-xx/V2
DS-2TD81xx-xx/V2

Versionen mit Build-Zeitpunkt vor 210702


DS-76xxNI-K1xx
DS-76xxNI-Qxx
DS-HiLookI-NVR-1xxMHxx
DS-HiLookI-NVR-2xxMHxx
DS-HiWatchI-HWN-41xxMHxx
DS-HiWatchI-HWN-42xxMHxx

V4.30.210 Build201224 - V4.31.000 Build210511

DS-71xxNI-Q1xx
DS-HiLookI-NVR-1xxMHxx
DS-HiLookI-NVR-1xxHxx
DS-HiWatchI-HWN-21xxMHxx
DS-HiWatchI-HWN-21xxHxx

V4.30.300 Build210221 - V4.31.100 Build210511









Voraussetzung:
Der Angreifer hat Zugriff auf das Netzwerk des Geräts oder das Gerät hat eine direkte Schnittstelle zum Internet

Angriffs Vorgehensweise:
Senden Sie eine speziell erstellte Nachricht.

Herunterladen einer korrigierten Firmware:
Benutzer sollten die aktualisierte Firmware herunterladen, um sich vor dieser potenziellen Sicherheitslücke zu schützen. Die Firmware ist auf der offiziellen Website von Hikvision erhältlich: Firmware herunterladen

Quelle der Informationen zur Schwachstelle:
Diese Sicherheitslücke wurde dem HSRC vom britischen Sicherheitsforscher Watchful IP gemeldet.

Kontaktieren Sie HIKVISION bei Fragen:
Sollten Sie ein Sicherheitsproblem oder ein Anliegen haben, wenden Sie sich bitte an das Hikvision Security Response Center unter hsrc@hikvision.com.