海康威视（Hikvision）大规模代码执行漏洞 数万监控设备存风险

1. 更新情况 2014年11月19日，海康威视（Hikvision）监控设备被爆严重漏洞，具体编号为CVE-2014-4878、CVE-2014-4879和CVE-2014-4880。这三个漏洞都是由于Hikvision监控设备对RTSP（实时流传输协议）请求处理不当导致的，通过该漏洞攻击者可以对设备进行DoS，甚至直接获取设备的最高权限。2. 漏洞概要 a) 漏洞描述 海康威视（Hikvision）监控设备在年初时就曾被爆过后台弱口令漏洞，攻击者可以通过弱口令进入后台对设备进行查看或者配置。这次所爆出3个漏洞都因海康威视（Hikivision）监控设备在处理RTSP请求时，使用了固定的缓冲区来接收用户输入，从而用户可发送一个更大的数据来进行请求，最终导致服务端缓冲区溢出。攻击者可以通过溢出来改变服务端的程序执行流程，从而执行任意代码。 有关RTSP协议的RFC文档可以看这里： 【http://www.ietf.org/rfc/rfc2326.txt】 漏洞信息相关： 【https://community.rapid7.com/community/metasploit/blog/2014/11/19/r7-2014-18-hikvision-dvr-devices–multiple-vulnerabilities】 根据Rapi7的报告，其漏洞触发点都在RTSP协议的具体实现里。 CVE-2014-4878：根据报告描述，其漏洞成因是在Hikvision的监控设备处理RTSP请求时，使用了固定的缓冲区接受body，当攻击者发送一个较大的body时，可能会产生溢出，致使服务crash等。 CVE-2014-4879：RTSP对请求头的处理同样也使用了固定大小的缓冲区，攻击者可以构造一个足够长的头部来填满缓冲区，产生溢出。 CVE-2014-4880：RTSP在对事务对基础认证头进行处理的时候，同样由于使用了固定的缓冲区，导致攻击者可通过构造来进行溢出，甚至执行任意命令。 b) 漏洞影响 海康威视安防设备，此次漏洞可能会影响到： 启用了RTSP（端口554）的设备。 c) 漏洞验证 可以运行以下脚本来检查设备是否存在此次漏洞（对开启了RTSP的Hikvision监控设备进行测试），程序带有攻击性，请谨慎使用： 测试脚本（hikvision_rtsp_buffer_overflow_poc.py）： 执行脚本进行测试，如果通过向目标554端口发送恶意构造的payload，导致服务端缓冲区溢出，导致服务crash，但设备默认具有自启动功能。因此利用此次漏洞，攻击者可以对监控设备进行DoS攻击。（再次提醒此测试脚本具有攻击性，请谨慎使用） 以下是一些测试截图： CVE-2014-4878测试： CVE-2014-4879测试： CVE-2014-4880测试： 有关CVE-2014-4880的利用，msf也给出了相应的攻击模块，其只对Hikvision-DS-7204-HVI-SV且固件为V2.2.10 build131009的设备进行了测试。因设备的差异，导致shellcode可能不通用，因此要测试所有设备，还需对每种设备服务crash后的堆栈情况进行分析，构造出相应的shellcode。 msf攻击测试模块链接如下： 【https://github.com/mschloesser-r7/metasploit-framework/blob/master/modules/exploits/linux/misc/hikvision_rtsp_bof.rb】（此脚本具有攻击性，请谨慎测试） 3. ZoomEye应急概要 此次爆出的海康威视（Hikvision）安防设备远程代码执行漏洞主要是因为RTSP协议实现不当造成的，去年也曾爆过类似的洞（http://www.coresecurity.com/advisories/hikvision-ip-cameras-multiple-vulnerabilities），但好像并没有引起重视。海康威视（Hikvision）安防设备在全球有着不小的用户量，此次漏洞虽然只针对RTSP协议，但从小量的测试结果可以看出危害还是不能忽视的。 来自知道创宇的ZoomEye团队（钟馗之眼网络空间探知系统）针对此次漏洞，通过几种方式的检测，得到了些影响结论。 注意：以下这些主机都是可被直接远程攻击的，属于高危级别！ a) 第一组数据 2014/11/28 通过ZoomEye对海康威视（Hikvision）安防设备的第一个指纹进行搜索：“DVRDVS Webs”，从中随机提取101条结果进行测试。 最终结果为： 101个测试目标中，开放了RTSP（即554端口）的有58个；58个开放了RTSP的目标中，验证成功的有57个，只有1个没有验证成功。 RTSP（即554端口）开放率：57.42% 测试成功率：98.27% 2014/11/29 通过ZoomEye对海康威视（Hikvision）安防设备的第二个指纹进行搜索：“Hikvision Webs”，从中随机提取102条结果进行测试。 最终结果为： 102个测试目标中，开放了RTSP（即554端口）的有27个；27个开放了RTSP的目标中，验证成功的有25个，只有2个没有验证成功。 RTSP（即554端口）开放率：26.47% 测试成功率：92.59% b) 第二组数据 2014/11/28 ZoomEye针对全国范围内的海康威视（Hikvision）安防设备进行了扫描，得到的数据为： 指纹 数量（台） 开放了RTSP的设备数量（台） RTSP开放率 DVRDVS Webs 10911 4617 42.31% Hikvision Webs 10869 2366 21.76% （注：因此次漏洞可能导致DoS，所以并没有进行大规模测试验证） 从RTSP启动的情况来看，全国大约有32.06%的海康威视安防设备开放了RTSP。 结合第一组数据得到的结果，可以推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。 2014/11/30 ZoomEye 团队针对全国范围内的 Hikvision 设备绘制了漏洞影响分布图。 从图中可以明显看出，江浙一带的海康威视（Hikvision）安防设备分布极其密集。 4. 相关资源链接 1. 知道创宇官网：【http://www.knownsec.com/】 2. 知道创宇旗下 – ZoomEye官网：【http://www.zoomeye.org/】 转自：http://www.zmke.com/i/9112.html#comment