Bazı Hikvision Hybrid SAN/Cluster Storage ürünlerindeki güvenlik zaafiyeti

Yayınlanma tarihi : 23 Haziran 2022

Özet :

Hikvision Hybrid SAN/Cluster storage ürünlerinin web modülünde aşağıdaki güvenlik zaafiyeti tespit edilmiştir.

1. Yetersiz giriş doğrulaması nedeniyle, saldırgan, etkilenen cihaza kötü amaçlı komutlar içeren mesajlar göndererek kısıtlı komutları yürütmek için güvenlik açığından yararlanabilir.
2. Yetersiz giriş doğrulaması nedeniyle, saldırgan, etkilenen cihaza kötü amaçlı komutlar içeren mesajlar göndererek XSS saldırısına yönelik güvenlik açığından yararlanabilir.

CVE ID :

CVE-2022-28171

CVE-2022-28172

CVE Skoru :

CVE-2022-28171

Baz skor: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

Geçici  skor: 6.7 (/E:P/RL:O/RC:C)

CVE-2022-28172

Baz skor: 6.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N)

Geçici skor: 5.9 (E:P/RL:O/RC:C)

Etkilenen versiyonlar:

Ürün kodu	Etkilenen versiyon
DS-A71024/48/72R	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A80624S	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A81016S	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A72024R/72R	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A80316S	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A82024D	V2.3.8-6 (V2.3.8-6 dahil) versiyonu ve alt versiyonlar
DS-A71024/48R-CVS	V1.1.4 (V1.1.4 dahil) versiyonu ve alt versiyonlar
DS-A72024/48R-CVS	V1.1.4 (V1.1.4 dahil) versiyonu ve alt versiyonlar

Saldırı için ön koşul :

Saldırganın cihaza ağ erişimi olması

Atak adımı :

Özel hazırlanmış kötü niyetli mesaj

Zaafiyet tespiti yapan : Bağımsız güvenlik araştırmacısı Thurein Soe tarafından HSRC’ye raporlanmıştır.

Zaafiyeti nasıl gideririm ?

https://www.hikvision.com/content/dam/hikvision/en/support/cybersecyrity/security-advisory/Patch-for-Fixing-Security-Vulnerability-of-Hybrid-SAN-&-Cluster-Storage.zip

adresinden yama/güncelleme indirip, güncelleme yapmalısınız.