|
江苏省公安厅2月27日中午发布的特急通知称，海康威视生产的监控设备存在严重安全隐患，部分设备已经被境外IP地址控制，要求各地立即进行全面清查，并开展安全加固，消除安全漏洞。
2014年11月19日，海康威视（Hikvision）监控设备被爆严重漏洞，具体编号为CVE-2014-4878、CVE-2014-4879和CVE-2014-4880。这三个漏洞都是由于Hikvision监控设备对RTSP（实时流传输协议）请求处理不当导致的，通过该漏洞攻击者可以对设备进行DoS，甚至直接获取设备的最高权限。2. 漏洞概要
a) 漏洞描述
海康威视（Hikvision）监控设备在年初时就曾被爆过后台弱口令漏洞，攻击者可以通过弱口令进入后台对设备进行查看或者配置。这次所爆出3个漏洞都因海康威视（Hikivision）监控设备在处理RTSP请求时，使用了固定的缓冲区来接收用户输入，从而用户可发送一个更大的数据来进行请求，最终导致服务端缓冲区溢出。攻击者可以通过溢出来改变服务端的程序执行流程，从而执行任意代码。
有关RTSP协议的RFC文档可以看这里：
【http://www.ietf.org/rfc/rfc2326.txt】
漏洞信息相关：
【https://community.rapid7.com/community/metasploit/blog/2014/11/19/r7-2014-18-hikvision-dvr-devices–multiple-vulnerabilities】
根据Rapi7的报告，其漏洞触发点都在RTSP协议的具体实现里。
CVE-2014-4878：根据报告描述，其漏洞成因是在Hikvision的监控设备处理RTSP请求时，使用了固定的缓冲区接受body，当攻击者发送一个较大的body时，可能会产生溢出，致使服务crash等。
CVE-2014-4879：RTSP对请求头的处理同样也使用了固定大小的缓冲区，攻击者可以构造一个足够长的头部来填满缓冲区，产生溢出。
CVE-2014-4880：RTSP在对事务对基础认证头进行处理的时候，同样由于使用了固定的缓冲区，导致攻击者可通过构造来进行溢出，甚至执行任意命令。
b) 漏洞影响
海康威视安防设备，此次漏洞可能会影响到：
启用了RTSP（端口554）的设备。
c) 漏洞验证
可以运行以下脚本来检查设备是否存在此次漏洞（对开启了RTSP的Hikvision监控设备进行测试），程序带有攻击性，请谨慎使用：
测试脚本（hikvision_rtsp_buffer_overflow_poc.py）：
执行脚本进行测试，如果通过向目标554端口发送恶意构造的payload，导致服务端缓冲区溢出，导致服务crash，但设备默认具有自启动功能。因此利用此次漏洞，攻击者可以对监控设备进行DoS攻击。（再次提醒此测试脚本具有攻击性，请谨慎使用）
有关CVE-2014-4880的利用，msf也给出了相应的攻击模块，其只对Hikvision-DS-7204-HVI-SV且固件为V2.2.10 build131009的设备进行了测试。因设备的差异，导致shellcode可能不通用，因此要测试所有设备，还需对每种设备服务crash后的堆栈情况进行分析，构造出相应的shellcode。
msf攻击测试模块链接如下：
【https://github.com/mschloesser-r7/metasploit-framework/blob/master/modules/exploits/linux/misc/hikvision_rtsp_bof.rb】（此脚本具有攻击性，请谨慎测试）
3. ZoomEye应急概要
此次爆出的海康威视（Hikvision）安防设备远程代码执行漏洞主要是因为RTSP协议实现不当造成的，去年也曾爆过类似的洞（http://www.coresecurity.com/advisories/hikvision-ip-cameras-multiple-vulnerabilities），但好像并没有引起重视。海康威视（Hikvision）安防设备在全球有着不小的用户量，此次漏洞虽然只针对RTSP协议，但从小量的测试结果可以看出危害还是不能忽视的。
来自知道创宇的ZoomEye团队（钟馗之眼网络空间探知系统）针对此次漏洞，通过几种方式的检测，得到了些影响结论。
注意：以下这些主机都是可被直接远程攻击的，属于高危级别！
a) 第一组数据
2014/11/28
通过ZoomEye对海康威视（Hikvision）安防设备的第一个指纹进行搜索：“DVRDVS Webs”，从中随机提取101条结果进行测试。
最终结果为：
101个测试目标中，开放了RTSP（即554端口）的有58个；58个开放了RTSP的目标中，验证成功的有57个，只有1个没有验证成功。
RTSP（即554端口）开放率：57.42%
测试成功率：98.27%
2014/11/29
通过ZoomEye对海康威视（Hikvision）安防设备的第二个指纹进行搜索：“Hikvision Webs”，从中随机提取102条结果进行测试。
最终结果为：
102个测试目标中，开放了RTSP（即554端口）的有27个；27个开放了RTSP的目标中，验证成功的有25个，只有2个没有验证成功。
RTSP（即554端口）开放率：26.47%
测试成功率：92.59%
b) 第二组数据
2014/11/28
ZoomEye针对全国范围内的海康威视（Hikvision）安防设备进行了扫描，得到的数据为：
指纹 数量（台） 开放了RTSP的设备数量（台） RTSP开放率
DVRDVS Webs 10911 4617 42.31%
Hikvision Webs 10869 2366 21.76%
（注：因此次漏洞可能导致DoS，所以并没有进行大规模测试验证）
从RTSP启动的情况来看，全国大约有32.06%的海康威视安防设备开放了RTSP。
结合第一组数据得到的结果，可以推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。
海康为我过最大的视频监控产品生产商，众多重点项目和单位用了该企业的产品，影响非常大，也是技术实力最好的企业，其他视频监控企业应该也存在类似问题，近年来视频监控产品应用量非常巨大，带来的运维问题应该也非常巨大，借机我们应该大力推广运维的重要性，也预示着一个非常巨大的运维行业的诞生。
|