CVE-2023-28808

Podatność kontroli dostępu w Hikvision Hybrid SAN/Cluster Storage

CVSS 9.1v3.1pub. 2023-04-11upd. 2024-11-21

Wybrane urządzenia Hikvision Hybrid SAN/Cluster Storage zawierają krytyczną podatność kontroli dostępu (access control), która umożliwia nieuwierzytelnionemu atakującemu uzyskanie uprawnień administratora. Podatność jest szczególnie groźna, ponieważ nie wymaga żadnych poświadczeń ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Some Hikvision Hybrid SAN/Cluster Storage products have an access control vulnerability which can be used to obtain the admin permission. The attacker can exploit the vulnerability by sending crafted messages to the affected devices.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane komunikaty sieciowe do podatnego urządzenia. Na skutek błędnej implementacji mechanizmów kontroli dostępu (CWE-284) urządzenie nieprawidłowo weryfikuje uprawnienia żądania, co pozwala obejść procedury uwierzytelniania. W efekcie atakujący zdalnie uzyskuje uprawnienia administracyjne bez konieczności posiadania ważnych danych logowania.

Skutki

Atakujący może przejąć pełną kontrolę administracyjną nad urządzeniem pamięci masowej, co umożliwia odczyt, modyfikację lub usunięcie przechowywanych danych, a także dalsze działania w obrębie infrastruktury sieciowej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o poprawionych wersjach firmware dostępne są w oficjalnym biuletynie bezpieczeństwa Hikvision pod adresem wskazanym w sekcji referencji. Urządzenia nie powinny być bezpośrednio dostępne z sieci publicznej; zaleca się ograniczenie dostępu do interfejsu zarządzania wyłącznie do zaufanych sieci i hostów.

Kogo dotyczy

Hikvision DS-A71024 (Firmware), Hikvision DS-A71048 (Firmware), Hikvision DS-A71072R (Firmware) oraz powiązane produkty z linii Hybrid SAN/Cluster Storage — szczegółowe wersje podatnego firmware wskazane w referencjach producenta.