Vào ngày 16/12, Hikvision đã tiết lộ rằng hai trong số các sản phẩm cầu nối không dây công ty được thiết kế cho thang máy và các hệ thống giám sát video khác bị ảnh hưởng bởi một lỗ hổng kiểm soát truy cập nghiêm trọng có số hiệu là CVE-2022-28173.
Lỗ hổng bảo mật có thể bị khai thác bằng cách gửi các tin nhắn lừa đảo đặc biệt đến các thiết bị bị ảnh hưởng và kẻ tấn công có thể chiếm được quyền quản trị viên.
Các bản vá phần sụn đã được cung cấp cho những sản phẩm DS-3WF0AC-2NT và DS-3WF01C-2N/O. Vấn đề đã được báo cáo cho nhà cung cấp vào hồi tháng 9 thông qua CERT Ấn Độ và một bản vá đã được phát hành vào đầu tháng này.
Hai nhà nghiên cứu Souvik Kandar và Arko Dhar của công ty camera quan sát (CCTV) có trụ sở tại Ấn Độ và công ty an ninh mạng Redinent Innovations đã báo cáo lỗ hổng bảo mật này.
Theo giải thích từ Redinent Innovations, lỗ hổng là do giao diện quản lý dựa trên web của sản phẩm xử lý thông số không đúng cách. Kẻ tấn công có thể khai thác lỗ hổng để chiếm quyền truy nhập của quản trị viên vào giao diện quản lý bằng cách gửi yêu cầu lừa đảo đặc biệt với payload (phần dữ liệu truyền giữa các gói tin) không vượt quá 200 byte. “Sau khi khai thác, phiên quản trị vẫn tồn tại với quyền truy cập đầy đủ vào tất cả các chức năng của giao diện”.
Nhà nghiên cứu Arko Dhar của Redinent cho biết, CVE-2022-28173 có thể bị khai thác từ mạng nội bộ. Nếu thiết bị có lỗ hổng xuất hiện trên web thì một thành viên của tổ chức hoặc một tác nhân đe dọa đã chiếm được quyền truy cập vào mạng của tổ chức cũng có thể khai thác lỗ hổng.
Còn theo Dhar, tìm kiếm của Shodan và Censys cho thấy những thiết bị như vậy có thể truy cập trực tiếp từ Internet và chúng có thể dễ bị tấn công nếu chưa được vá lỗi.
Khi kẻ tấn công đã khai thác thành công lỗ hổng, chúng có thể chặn lưu lượng mạng hoặc tấn công vào hệ thống camera quan sát.
Nhà nghiên cứu giải thích: “Thông thường, các thiết bị này được sử dụng để truyền video CCTV từ camera bên trong thang máy đến trung tâm chỉ huy hoặc bảng điều khiển hoạt động an ninh. Kẻ tấn công có thể vô hiệu hóa hoặc tắt nguồn cấp dữ liệu video như một phần của sự cố vật lý đã được lên kế hoạch ví dụ: Để phối hợp trong các cụ cướp hoặc trộm cắp”.
Trong một thông báo gửi tới các đối tác, Hikvision đã làm rõ rằng các sản phẩm được cung cấp tại thị trường Hoa Kỳ không bị ảnh hưởng bởi lỗ hổng bảo mật này. Tuy nhiên, gần đây Hoa Kỳ vẫn hạn chế sử dụng các hệ thống giám sát video do Trung Quốc sản xuất.
Hikvision thông báo cho các đối tác về CVE-2022-28173 và lưu ý rằng công ty cam kết hợp tác với các nhà nghiên cứu bên thứ ba để vá những lỗ hổng trong sản phẩm của mình.
Ngoài ra, thông báo cũng cho các đối tác biết: “Hikvision tuân thủ nghiêm ngặt luật pháp và quy định ở tất cả các quốc gia và khu vực nơi chúng tôi hoạt động và chúng tôi áp dụng các tiêu chuẩn cao nhất về thực hành an ninh mạng nhằm nỗ lực bảo vệ tốt nhất người dùng các sản phẩm của Hikvision trên toàn thế giới"./.
