海康威視（Hikvision）安防監控錄像機曝遠程代碼執行漏
責編：admin ｜2014-11-27 17:42:49知名監控產品供應商海康威視（Hikvision）的大量數碼錄像機設備被曝存在遠程代碼執行漏洞，黑客可以由此直接獲取設備最高權限。海康威視是中國領先的監控產品供應商。在今年大約3月末的時候，海康威視曾被爆出其設備因默認密碼是12345，而被攻擊者充當比特幣挖掘器的安全事件。
漏洞初探
從知名網絡安全Rapid7公司的報告來看，海康威視的數碼錄像機在實時數據流協議的請求處理代碼中，包含三個典型的緩沖區溢出漏洞。上周，Rapid7發布了該漏洞的Metasploit測試模塊，研究人員可以通過這個模塊實現遠程代碼執行漏洞利用測試。
Hikvision的數碼錄像機并不是一款家用設備，它的設計初衷是用來存儲監測記錄和辦公樓樓宇的安全監控錄像的，也就是一款安防設備。Rapid7對整個網絡進行了批量檢測，試圖獲取含有該漏洞的設備數量。最后他們表示，在IPv4協議的網絡里，大約有150，000臺海康威視設備存在該漏洞。
Rapid7公司的安全研究員Mark Schloesser推測，這批海康威視設備的普及，可能與該公司出品的iPhone APP有關，該應用允許用戶通過手機APP遠程監控錄像。
漏洞淺析
具體的漏洞編號是CVE-2014-4878、CVE-2014-4879和CVE-2014-4880。漏洞大體原理即：在RTSP（TCP/IP協議體系中的雙向實時流傳輸協議）的請求body、請求頭以及基礎認證處理中，通過某種手法實現緩沖區溢出。接下來即使不經過認證，黑客也能實現遠程任意代碼執行。
安全研究員還指出了另一個讓人不禁吐槽的點，這類設備還帶著弱口令：賬號admin，密碼12345。
第一個漏洞(CVE-2014-4878)：
安全研究員解釋道：RTSP請求處理機制使用了一個固定大小為2014字節的緩沖區，來填充http請求body。如果你發送一個更大的body會導致緩沖區溢出。這個漏洞可以被利用來進行代碼執行。但Rapid7公司認為這個漏洞實為拒絕服務攻擊。
第二個漏洞(CVE-2014-4879)：
RTSP請求處理機制在解析http頭的時候，也使用了固定大小的緩沖區。與前面類似，當用戶發送一個過大的http頭時，也會出現緩沖區溢出。在write-up里，安全研究員表示：該漏洞除了用來實現任意代碼執行，也可以用于拒絕服務攻擊。
第三個漏洞(CVE-2014-4880)：
用戶可以通過發送一個特制的RTSP請求，在RTSP事務對基礎認證頭進行處理的時候，引發緩沖區溢出。
Schloesser解釋道：
“我們分析下這種情況：當發送的請求控制了遠程指令指針，在執行一系列ROP小工具時，會把棧轉移到請求包那里，然后繼續執行命令。”
這個漏洞的利用不需要做認證，通過Metasploit利用測試模塊（點我下載）可以看到，攻擊者可以輕松拿下存在該漏洞設備的最高權限。
海康威視漏洞歷史
Rapid7在一臺固件為V2.2.10 build 131009的Hikvision-DS-7204-HVI-SV上發現并實驗了這些漏洞。盡管他們并沒有做全面測試來列出海康威視受漏洞影響的版本號和設備，但可以確定其他同類產品也受到了影響。安全研究人員Schloesser在發現了這些漏洞后，于9月15日將其上報給海康威視，并在11月19日公布了漏洞。
Threatpost記者試圖聯系海康威視，確認相關事件的細節。但直到這篇文章發表時，海康威視官方還沒有給出任何回應。
海康威視也不是第一次出漏洞了。SANS研究所安全處理日記博客的Johannes Ullrich發布過，Threatpost在以前的文章中也報道過相關事件：海康威視數碼錄像機曾受“The Moon”蠕蟲影響，成為挖比特幣的免費礦工，以及被利用來掃描Synology磁盤站。而其漏洞中最大的槽點就是設備的root密碼居然是12345，并且至今仍未改變。