海康威视(Hikvision)大规模代码执行漏洞 数万监控设备存风险



1. 更新情况


2014年11月19日,海康威视(Hikvision)监控设备被爆严重漏洞,具体编号为CVE-2014-4878、CVE-2014-4879和CVE-2014-4880。这三个漏洞都是由于Hikvision监控设备对RTSP(实时流传输协议)请求处理不当导致的,通过该漏洞攻击者可以对设备进行DoS,甚至直接获取设备的最高权限。2. 漏洞概要

a) 漏洞描述

海康威视(Hikvision)监控设备在年初时就曾被爆过后台弱口令漏洞,攻击者可以通过弱口令进入后台对设备进行查看或者配置。这次所爆出3个漏洞都因海康威视(Hikivision)监控设备在处理RTSP请求时,使用了固定的缓冲区来接收用户输入,从而用户可发送一个更大的数据来进行请求,最终导致服务端缓冲区溢出。攻击者可以通过溢出来改变服务端的程序执行流程,从而执行任意代码。

有关RTSP协议的RFC文档可以看这里:

  • 【http://www.ietf.org/rfc/rfc2326.txt】

漏洞信息相关:

  • 【https://community.rapid7.com/community/metasploit/blog/2014/11/19/r7-2014-18-hikvision-dvr-devices–multiple-vulnerabilities】

根据Rapi7的报告,其漏洞触发点都在RTSP协议的具体实现里。

CVE-2014-4878:根据报告描述,其漏洞成因是在Hikvision的监控设备处理RTSP请求时,使用了固定的缓冲区接受body,当攻击者发送一个较大的body时,可能会产生溢出,致使服务crash等。

CVE-2014-4879:RTSP对请求头的处理同样也使用了固定大小的缓冲区,攻击者可以构造一个足够长的头部来填满缓冲区,产生溢出。

CVE-2014-4880:RTSP在对事务对基础认证头进行处理的时候,同样由于使用了固定的缓冲区,导致攻击者可通过构造来进行溢出,甚至执行任意命令。

b) 漏洞影响

海康威视安防设备,此次漏洞可能会影响到:

  • 启用了RTSP(端口554)的设备。

c) 漏洞验证

可以运行以下脚本来检查设备是否存在此次漏洞(对开启了RTSP的Hikvision监控设备进行测试),程序带有攻击性,请谨慎使用:

测试脚本(hikvision_rtsp_buffer_overflow_poc.py):

执行脚本进行测试,如果通过向目标554端口发送恶意构造的payload,导致服务端缓冲区溢出,导致服务crash,但设备默认具有自启动功能。因此利用此次漏洞,攻击者可以对监控设备进行DoS攻击。(再次提醒此测试脚本具有攻击性,请谨慎使用)

以下是一些测试截图:

  • CVE-2014-4878测试:

  • CVE-2014-4879测试:

  • CVE-2014-4880测试:

有关CVE-2014-4880的利用,msf也给出了相应的攻击模块,其只对Hikvision-DS-7204-HVI-SV且固件为V2.2.10 build131009的设备进行了测试。因设备的差异,导致shellcode可能不通用,因此要测试所有设备,还需对每种设备服务crash后的堆栈情况进行分析,构造出相应的shellcode。

msf攻击测试模块链接如下:

  • 【https://github.com/mschloesser-r7/metasploit-framework/blob/master/modules/exploits/linux/misc/hikvision_rtsp_bof.rb】(此脚本具有攻击性,请谨慎测试)

3. ZoomEye应急概要

此次爆出的海康威视(Hikvision)安防设备远程代码执行漏洞主要是因为RTSP协议实现不当造成的,去年也曾爆过类似的洞(http://www.coresecurity.com/advisories/hikvision-ip-cameras-multiple-vulnerabilities),但好像并没有引起重视。海康威视(Hikvision)安防设备在全球有着不小的用户量,此次漏洞虽然只针对RTSP协议,但从小量的测试结果可以看出危害还是不能忽视的。

来自知道创宇的ZoomEye团队(钟馗之眼网络空间探知系统)针对此次漏洞,通过几种方式的检测,得到了些影响结论。

注意:以下这些主机都是可被直接远程攻击的,属于高危级别!

a) 第一组数据

2014/11/28

通过ZoomEye对海康威视(Hikvision)安防设备的第一个指纹进行搜索:“DVRDVS Webs”,从中随机提取101条结果进行测试。

最终结果为:

101个测试目标中,开放了RTSP(即554端口)的有58个;58个开放了RTSP的目标中,验证成功的有57个,只有1个没有验证成功。

RTSP(即554端口)开放率:57.42%

测试成功率:98.27%

2014/11/29

通过ZoomEye对海康威视(Hikvision)安防设备的第二个指纹进行搜索:“Hikvision Webs”,从中随机提取102条结果进行测试。

最终结果为:

102个测试目标中,开放了RTSP(即554端口)的有27个;27个开放了RTSP的目标中,验证成功的有25个,只有2个没有验证成功。

RTSP(即554端口)开放率:26.47%

测试成功率:92.59%

b) 第二组数据

2014/11/28

ZoomEye针对全国范围内的海康威视(Hikvision)安防设备进行了扫描,得到的数据为:

指纹 数量(台) 开放了RTSP的设备数量(台) RTSP开放率
DVRDVS Webs 10911 4617 42.31%
Hikvision Webs 10869 2366 21.76%

(注:因此次漏洞可能导致DoS,所以并没有进行大规模测试验证)

从RTSP启动的情况来看,全国大约有32.06%的海康威视安防设备开放了RTSP。

结合第一组数据得到的结果,可以推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。

2014/11/30

ZoomEye 团队针对全国范围内的 Hikvision 设备绘制了漏洞影响分布图。

从图中可以明显看出,江浙一带的海康威视(Hikvision)安防设备分布极其密集。

4. 相关资源链接

1. 知道创宇官网:【http://www.knownsec.com/】

2. 知道创宇旗下 – ZoomEye官网:【http://www.zoomeye.org/】


转自:http://www.zmke.com/i/9112.html#comment

你可能感兴趣的:(网络视频,漏洞,海康威视,RTSP)