Vulnérabilités de sécurité dans les appareils NVR de Hikvision

Numéro SN :HSRC-202404-01

Modifier:Centre de réponse de sécurité de Hikvision (HSRC)

Date de publication initiale : 2024-04-02

Sommaire :

1. Certains enregistreurs vidéo en réseau (ou « NVR ») Hikvision présentent une vulnérabilité de déréférencement de pointeur NULL. En raison d'une validation insuffisante d'un paramètre dans un message, un attaquant peut envoyer des messages spécialement conçus à un produit affecté, provoquant une anomalie de processus.

2. Certains NVR Hikvision présentent une vulnérabilité de lecture hors limites. Un attaquant authentifié peut exploiter cette vulnérabilité en envoyant des messages spécialement conçus à un appareil vulnérable, ce qui provoque une anomalie de service.

3. Certains NVR Hikvision présentent une vulnérabilité par injection de commande. Celle-ci pourrait permettre à un utilisateur authentifié disposant de droits d'administration d'exécuter des commandes arbitraires.

Hikvision recommande aux utilisateurs d'utiliser des mots de passe complexes afin de limiter les possibilités d'exploitation des vulnérabilités susmentionnées.

Identifiant CVE :

CVE-2024-29947

CVE-2024-29948

CVE-2024-29949

Notation :

La norme CVSS v3.1 est adoptée pour la notation de ces vulnérabilités.

(http://www.first.org/cvss/specification-document)

CVE-2024-29947

Score de base : 2.7 (CVSS:3.1/ AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L)

CVE-2024-29948

Score de base : 3.8 (CVSS:3.1/ AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:L)

CVE-2024-29949

Score de base : 7.2 (CVSS:3.1/ AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)

Versions et correctifs affectés

Nom du produit	Affecté par	Versions affectées
DS-7604NI-K1 / 4P(B)	CVE-2024-29947 & CVE-2024-29949	V4.30.096 modèle 221220 et les versions antérieures
DS-7604NXI-K1/4P	CVE-2024-29948	V4.76.005 modèle 231012 et les versions antérieures
DS-76xxNI-Mx DS-77xxNI-Mx DS-96xxxNI-Mxx DS-76xxNXI-Ix DS-77xxNXI-Ix DS-86xxNXI-Ix DS-96xxNXI-Ix iDS-76xxNXI-Mx iDS-77xxNXI-Mx iDS-96xxxMXI-Mxx	CVE-2024-29949	Versions ultérieures à V5.00.000 (y compris V5.00.000) et antérieures à V5.02.006（à l'exclusion de V5.02.006）
DS-7604NI-M1/4P	CVE-2024-29949	Versions ultérieures à V5.00.000 (y compris V5.00.000) et antérieures à V5.01.070（à l'exclusion de V5.01.070）

Obtention de versions corrigées

Les utilisateurs peuvent télécharger des correctifs/mises à jour sur le site officiel de Hikvision.

Source des informations sur la vulnérabilité

Ces vulnérabilités ont été signalées au Centre de réponse de sécurité de Hikvision par Team.ENVY (KITRI BoB 12).

Nous contacter

Pour signaler tout problème de sécurité ou toute vulnérabilité dans les produits et solutions Hikvision, veuillez contacter le Centre de réponse de sécurité Hikvision à l'adresse hsrc@hrbaojie.com.

Hikvision tient à remercier tous les chercheurs en sécurité pour l'attention qu’ils portent à nos produits.

Cet avis de sécurité est publié et mis à jour sur la base des résultats de l'enquête menée par Hikvision et peut faire l'objet de modifications.