CVE-2017-7921 — كاميرا Hikvision IP / DVR / NVR

مصادقة غير سليمة — تصعيد الامتيازات عبر معامل استعلام مُصمَّم خصيصًا

---

1. الملخص التنفيذي

تُعد CVE-2017-7921 ثغرة حرجة من نوع المصادقة غير السليمة تؤثر على مكوِّن خادم الويب في البرنامج الثابت (firmware) لمجموعة واسعة من كاميرات الشبكة وأجهزة DVR وNVR من Hikvision. تتيح هذه الثغرة لمهاجم خارجي غير مُصادَق تجاوز آلية تسجيل الدخول في الجهاز بالكامل عبر إلحاق معامل استعلام مُعرَّف بشكل ثابت ومُصمَّم خصيصًا بمسارات طلبات HTTP معيّنة. ولأن فحص المصادقة يثق بهذا المعامل بدلاً من التحقق من جلسة أو مجموعة بيانات اعتماد، فإن أي طلب يحمله يُعامَل كما لو كان صادرًا من عملية داخلية متمتعة بصلاحيات.

يمنح الاستغلال الناجح وصولاً إداريًا كاملاً إلى واجهة الويب الخاصة بالجهاز، بما في ذلك بث الفيديو المباشر والمسجَّل، وإعدادات الجهاز، وبيانات حسابات المستخدمين، وعلى العديد من فروع البرنامج الثابت القدرة على تنزيل ملف إعدادات الجهاز الكامل، الذي يحتوي بدوره على بيانات اعتماد مخزّنة بتشفير ضعيف. لا تتطلب الثغرة أي تفاعل من المستخدم، ولا أي مصادقة مسبقة، ولا موقعًا شبكيًا غير قياسي، وهو ما جعلها — إلى جانب الحجم الهائل لقاعدة تركيبات Hikvision — هدفًا دائمًا لتجنيد الروبوتات (مثل نشاط عائلة Reaper/IoTroop) وجمع خلاصات المراقبة منذ الإفصاح عنها.

2. المنتجات المتأثرة

تم تأكيد الثغرة عبر عدة عائلات منتجات من Hikvision تعمل بفروع برنامج ثابت تسبق التصحيح الأمني لعام 2017. تشمل خطوط الإنتاج المتأثرة التمثيلية:

• سلسلة DS-2CD2xx2F-I — البرنامج الثابت V5.2.0 (build 140721) حتى V5.4.0 (build 160530)
• سلسلة DS-2CD2xx0F-I — البرنامج الثابت V5.2.0 (build 140721) حتى V5.4.0 (build 160401)
• سلسلة DS-2CD2xx2FWD — البرنامج الثابت V5.3.1 (build 150410) حتى V5.4.4 (build 161125)
• سلسلة DS-2CD4x2xFWD — البرنامج الثابت V5.2.0 (build 140721) حتى V5.4.0 (build 160414)
• سلسلة DS-2CD4xx5 — البرنامج الثابت V5.2.0 (build 140721) حتى V5.4.0 (build 160421)
• سلسلة DS-2DFx PTZ — البرنامج الثابت V5.2.0 (build 140805) حتى V5.4.5 (build 160928)
• سلسلة DS-2CD63xx وخطوط إنتاج مختارة من NVR/DVR تتشارك في نفس قاعدة أكواد خادم الويب

كما أشارت Hikvision إلى تعقيد قائم خاص بهذه الثغرة: عدد كبير من أجهزة "السوق الرمادية" التي تُباع خارج قنوات التوزيع المعتمدة تعمل ببرنامج ثابت معدَّل وغير تابع لـ Hikvision. لا تعالج تحديثات البرنامج الثابت القياسية هذه الوحدات بشكل موثوق، وفي بعض الحالات تعيد الواجهة إلى حالتها السابقة بدلاً من تصحيحها.

3. التحليل الفني

3.1 السبب الجذري

تعتمد مصادقة أجهزة Hikvision القياسية على مصادقة HTTP Basic/Digest لحماية واجهة الإدارة عبر الويب. ومع ذلك، في البرنامج الثابت المعرَّض للثغرة، تحتوي مجموعة فرعية من نقاط نهاية معالجة الطلبات الداخلية على مسار مصادقة ثانوي غير موثّق مخصص للاستخدام الداخلي/التصحيح. لا يقوم هذا المسار بإجراء بحث عن بيانات الاعتماد — بل يفحص الطلب للتحقق من وجود رمز مميز (token) ثابت ومضمَّن في الكود، وإذا وُجد، يعامل الطلب كطلب مُصادَق مسبقًا، متجاوزًا فحوصات التحكم في الوصول المستند إلى الأدوار (RBAC) بالكامل.

الرمز المميز هو تمثيل بترميز Base64 لزوج بيانات اعتماد افتراضي ثابت مضمَّن في البرنامج الثابت نفسه. ولأنه قيمة ثابتة وليست قيمة جلسة مشتقة، فهو متطابق عبر كل جهاز معرَّض للثغرة بغض النظر عن كلمة مرور المسؤول المكوَّنة فعليًا على تلك الوحدة — فتغيير كلمة مرور المسؤول لا يخفف من الثغرة.

3.2 مسار الاستغلال

على مستوى عالٍ، يتبع الاستغلال هذا التسلسل:

1. يحدد المهاجم جهاز Hikvision يمكن الوصول إليه (عادةً عبر البصمة الرقمية Shodan/Censys لمنفذ إدارة الويب المكشوف).
2. يُرسل طلب HTTP GET مُصمَّم خصيصًا إلى نقطة نهاية معروفة بأنها معرَّضة للثغرة مع إلحاق رمز المصادقة الثابت كمعامل استعلام، بدلاً من تقديم اسم مستخدم/كلمة مرور.
3. يتحقق معالج الطلبات في البرنامج الثابت المعرَّض للثغرة من الرمز المميز بدلاً من جلسة أو بيانات اعتماد، ويخدم الطلب بصلاحية إدارية.
4. يمكن للمهاجم الآن تعداد وتعديل إعدادات الجهاز، وعرض البث المباشر/المسجَّل، وعلى الإصدارات المتأثرة — استرداد تصدير الإعدادات الكامل، الذي يخزن بيانات اعتماد إضافية للحسابات بتشفير ضعيف بمفتاح ثابت يمكن فكّه دون اتصال.

لا يتضمن الأمر أي إفساد للذاكرة أو تجاوز سعة المخزن المؤقت أو تفاعل من جانب العميل؛ الهجوم بأكمله هو طلب HTTP واحد مُصمَّم وعديم الحالة، وهذا ما يجعله قابلاً للبرمجة النصية بسهولة وصديقًا للماسحات الضوئية.

3.3 لماذا تستمر

ثلاثة عوامل تفسر الذيل الطويل غير المعتاد للتعرض الواقعي لهذه الثغرة:

• تُنشر الأجهزة عادةً مرة واحدة ولا يُعاد زيارتها لتحديثات البرنامج الثابت، خاصة في التركيبات السكنية والشركات الصغيرة.
• غالبًا لا يمكن تصحيح وحدات السوق الرمادية التي تعمل ببرنامج ثابت غير معتمد عبر القنوات الرسمية إطلاقًا.
• الثغرة صديقة للفهرسة — ولأن استغلالها يعتمد على طلب HTTP واحد غير مُصادَق، يمكن لأدوات المسح الشامل تعداد المضيفين المعرَّضين للثغرة عبر كامل مساحة IPv4 بتكلفة منخفضة، وهذا هو بالضبط كيفية استغلالها لتجنيد روبوتات إنترنت الأشياء.

4. الأثر

5. الاكتشاف والمؤشرات

• طلبات HTTP GET غير مُصادَق عليها إلى نقاط نهاية إدارة الجهاز تحتوي على معامل استعلام مُلحَق غير مخصص للمستخدم يشبه سلسلة بيانات اعتماد بترميز Base64.
• طلبات تصدير الإعدادات (مثل استرداد ملف إعدادات/نسخة احتياطية للجهاز) صادرة عن جلسات لم تكتمل فيها مصادقة Basic/Digest القياسية إطلاقًا.
• اتصالات صادرة غير متوقعة من أجهزة الكاميرا/NVR تتوافق مع حركة مرور الاتصال بخادم القيادة والتحكم للروبوتات (مؤشر ثانوي شائع بعد استغلال الجهاز على نطاق واسع).
• محتوى الاكتشاف من البائع وأطراف ثالثة: توقيع Check Point IPS CPAI-2017-0876، ومكوّن Tenable.ot الإضافي tenable_ot_hikvision_CVE-2017-7921.nasl، ونشرة CISA/ICS-CERT ICSA-17-124-01.

6. المعالجة

• حدِّث إلى إصدار البرنامج الثابت من Hikvision الذي يعالج هذه النشرة للطراز/المنتج المحدد — وتحقَّق عبر بوابة البرامج الثابتة الرسمية لـ Hikvision، وليس من مرايا أطراف ثالثة.
• لا تعرِّض واجهة إدارة الويب للجهاز مباشرةً إلى الإنترنت؛ ضع الكاميرات/أجهزة NVR خلف VPN (مثل WireGuard) أو على VLAN معزول دون أي إعادة توجيه منافذ WAN واردة.
• عطِّل UPnP على الموجّه/الجهاز حتى لا تتمكن الكاميرا من إعادة فتح المنفذ الذي أُغلق للتو بشكل صامت.
• غيِّر جميع بيانات اعتماد الجهاز بعد التصحيح، لأن الوحدة المستغلة سابقًا ربما تم سحب ملف إعداداتها وفك تشفيره دون اتصال.
• بالنسبة لوحدات السوق الرمادية أو تلك التي تعمل ببرنامج ثابت غير معتمد ولا يمكن تصحيحها عبر القنوات الرسمية، اعزل الجهاز أو أخرجه من الخدمة بدلاً من الاعتماد على تحديثات البرنامج الثابت.
• راقب مؤشرات الاكتشاف في القسم 5 كضابط تعويضي على الشبكات التي لا يكون التصحيح الفوري فيها ممكنًا.

7. إثبات المفهوم

تمت كتابة إثبات مفهوم (PoC) عملي لـ CVE-2017-7921 بواسطة Jared Brits (K3ysTr0K3R) ويُحتفظ به في github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT. واتساقًا مع ممارسة الإفصاح المسؤول، لا يتضمن هذا التحليل كود الاستغلال أو مخرجات أهداف حية أو بيانات اعتماد/لقطات تم التقاطها.

[ محجوز للقطات شاشة إثبات المفهوم ضد جهاز تملكه أو مخوَّل لك صراحةً اختباره — مثل جهاز افتراضي/كاميرا معزولة في مختبر منزلي دون proxychains، دون أهداف تابعة لأطراف ثالثة، ودون لقطات حية من بيئة نشر حقيقية. ]

8. المراجع

• نشرة CISA / ICS-CERT ICSA-17-124-01 — مصادقة غير سليمة في كاميرا Hikvision IP.
• NVD — تفاصيل CVE-2017-7921, nvd.nist.gov.
• نشرة أبحاث Check Point CPAI-2017-0876 — تجاوز المصادقة في كاميرات Hikvision IP.
• مكوّن Tenable.ot الإضافي — tenable_ot_hikvision_CVE-2017-7921.nasl.
• Jared Brits (K3ysTr0K3R), CVE-2017-7921-EXPLOIT — ملاحظات إثبات المفهوم والإفصاح المسؤول، GitHub.

9. الاعتمادات

• الاستغلال / إثبات المفهوم: Jared Brits (K3ysTr0K3R) — github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT
• التحليل: MK-ULTRA — github.com/MK-ULTRA-project-monarch
• IG: @projectmonarch_mk_ultra

---

أُعدَّ لتوثيق الأبحاث التعاونية. يغطي هذا التحليل آليات الثغرة وأثرها واكتشافها ومعالجتها كمرجع لأغراض دفاعية وتعليمية؛ ولا يتضمن كود استغلال جاهزًا للتشغيل أو أدلة من أهداف غير مصرَّح بها.