标签 海康威视 下的文章

尽管该漏洞的利用前提是攻击者需完成身份验证，但安全专家警示，这并不意味着风险有所降低。在诸多攻击场景中，该漏洞可能成为攻击链上的关键一环：攻击者先攻陷低权限账户（或使用默认凭据登录），再借助这一漏洞获得对设备底层操作系统的完全控制权。
安全公告指出，该漏洞可直接导致任意命令执行。一旦攻击者在无线接入点这类网络设备上实现代码执行，就有可能拦截网络流量、横向渗透至内网中的其他设备，或是直接瘫痪整个无线服务。
该安全漏洞影响海康威视DS-3WAP 系列多款无线接入点，具体来看，运行以下型号且固件版本为 V1.1.6303 build250812 及更早版本的设备均存在风险：
  • DS-3WAP521-SI
  • DS-3WAP522-SI
  • DS-3WAP621E-SI
  • DS-3WAP622E-SI
  • DS-3WAP623E-SI
海康威视已发布适用于所有受影响型号的统一修复版本，网络管理员需立即将设备固件更新至V1.1.6601 build251223 版本，以封堵这一攻击入口。

数以万计的摄像头未能修补一个已存在11个月的关键CVE漏洞，导致数千家机构面临风险。

最新研究表明，目前全球超过8万台海康威视监控摄像头易受一个已存在11个月的命令注入漏洞影响。

海康威视（杭州海康威视数字技术股份有限公司的简称）是中国国有视频监控设备制造商。其客户遍布100多个国家（包括美国，尽管美国联邦通信委员会在2019年将海康威视列为"对美国国家安全构成不可接受的风险"）。

去年秋季，海康威视摄像头中的命令注入漏洞以CVE-2021-36260的形式公之于众。美国国家标准与技术研究院（NIST）给该漏洞打出了9.8分（满分10分）的"严重"评级。

尽管该漏洞危害严重，且事件已发生近一年，仍有超过8万台受影响的设备未安装补丁。在此期间，研究人员发现"多起黑客试图合作利用海康威视摄像头命令注入漏洞的案例"，特别是在俄罗斯暗网论坛上，泄露的登录凭证已被公开出售。

目前已造成的损害程度尚不明确。报告作者仅能推测："中国威胁组织如MISSION2025/APT41、APT10及其附属组织，以及未知的俄罗斯威胁行为者团体，可能利用这些设备中的漏洞来实现其动机（可能包括特定的地缘政治考量）。"

物联网设备的风险

面对此类事件，人们很容易将软件未打补丁归咎于个人和组织的懈怠。但实际情况往往更为复杂。

Cybrary威胁情报高级总监David Maynor指出，海康威视摄像头存在漏洞有多重原因，且已持续一段时间。"他们的产品存在易被利用的系统性漏洞，更糟糕的是使用默认凭证。没有有效方法进行取证或验证攻击者是否已被清除。此外，我们尚未观察到海康威视在开发周期中表现出任何提升安全性的态势转变。"

许多问题是行业通病，并非海康威视独有。Comparitech隐私倡导者Paul Bischoff通过电子邮件声明写道："像摄像头这样的物联网设备的安全防护，并不总是像手机应用程序那样简单直接。更新不是自动的；用户需要手动下载安装，而许多用户可能永远收不到更新通知。此外，物联网设备可能不会向用户提示其处于不安全或过时状态。手机会在有更新时发出提醒，并在下次重启时自动安装，而物联网设备不提供这种便利。"

在用户毫不知情的情况下，网络犯罪分子可以通过Shodan或Censys等搜索引擎扫描其易受攻击的设备。Bischoff指出，懈怠可能使问题进一步恶化："海康威视摄像头出厂时仅配备少数预设密码之一，而许多用户不会更改这些默认密码。"

在安全防护薄弱、能见度和监管不足的情况下，这数万台摄像头何时（或是否）能得到安全保障尚不可知。

作者：

Nate Nelson

2022年8月25日
下午2:47

2
分钟阅读

分享本文：

数以万计的摄像头未能修补一个已存在11个月的关键CVE漏洞，导致数千家机构面临风险。

新的
研究
表明，目前全球超过8万台海康威视监控摄像头易受一个已披露11个月的命令注入漏洞影响。

海康威视（杭州海康威视数字技术股份有限公司的简称）是一家中国国有视频监控设备制造商。其客户遍布100多个国家（包括美国，尽管美国联邦通信委员会在2019年将海康威视列为“对美国国家安全构成不可接受的风险”）。

去年秋季，海康威视摄像头中的一个命令注入漏洞以
CVE-2021-36260
的形式公之于众。美国国家标准与技术研究院（NIST）给予该漏洞9.8分（满分10分）的“严重”评级。

尽管该漏洞危害严重，且事件已过去近一年，仍有超过8万台受影响的设备未打补丁。在此期间，研究人员发现“多起黑客试图合作利用海康威视摄像头命令注入漏洞的案例”，特别是在俄罗斯暗网论坛上，泄露的登录凭证已被公开出售。

目前已造成的损害程度尚不明确。报告作者只能推测：“中国威胁组织如MISSION2025/APT41、APT10及其附属组织，以及未知的俄罗斯威胁行为者团体，可能利用这些设备中的漏洞来实现其动机（其中可能包括特定的地缘政治考量）。”

物联网设备的风险

面对此类事件，人们很容易将软件未修补归咎于个人或组织的懈怠。但实际情况并非总是如此简单。

据Cybrary威胁情报高级总监David Maynor称，海康威视摄像头存在漏洞的原因很多，且已持续一段时间。“他们的产品包含易于利用的系统性漏洞，或者更糟的是，使用默认凭证。没有有效的方法进行取证或验证攻击者是否已被清除。此外，我们尚未观察到海康威视在其开发周期中表现出任何提升安全性的姿态。”

许多问题是整个行业的通病，并非海康威视独有。Comparitech的隐私倡导者Paul Bischoff在通过电子邮件发表的声明中写道：“像摄像头这样的物联网设备，并不总是像手机上的应用程序那样容易或直接保护。更新不是自动的；用户需要手动下载和安装，而许多用户可能根本收不到通知。此外，物联网设备可能不会向用户提示其处于不安全或过时状态。你的手机会在有更新时发出警报，并可能在下次重启时自动安装，而物联网设备则不提供此类便利。”

在用户毫不知情的情况下，网络犯罪分子可以通过Shodan或Censys等搜索引擎扫描他们的易受攻击设备。Bischoff指出，这个问题确实可能因懈怠而加剧，“因为海康威视摄像头出厂时预设了几个固定密码之一，而许多用户没有更改这些默认密码。”

在安全性薄弱、可见性和监管不足的情况下，尚不清楚这数万台摄像头何时（或是否）能得到保护。