CVE-2017-7921 — Caméra IP / DVR / NVR Hikvision

Authentification incorrecte — Élévation de privilège via un paramètre de requête spécialement conçu

Identifiant CVE	CVE-2017-7921
Classe de vulnérabilité	CWE-287 : Authentification incorrecte
Score de base CVSS v3.0	10,0 (Critique) — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Score CVSS v2.0	7,5 (Élevé) — AV:N/AC:L/Au:N/C:P/I:P/A:P
Date de divulgation	2017 (Avis ICS-CERT ICSA-17-124-01)
Fournisseur	Hikvision Digital Technology Co., Ltd.
Statut	Corrigé — Hikvision a publié un firmware corrigé ; les appareils non corrigés et du « marché gris » restent exposés
Auteur de la preuve de concept / de l’exploit	Jared Brits (K3ysTr0K3R)
Auteur de l’analyse	MK-ULTRA (github.com/MK-ULTRA-project-monarch)

---

1. Résumé exécutif

CVE-2017-7921 est une vulnérabilité critique d’authentification incorrecte affectant le composant serveur web du firmware d’une large gamme de caméras réseau, DVR et NVR Hikvision. La faille permet à un attaquant distant non authentifié de contourner entièrement le mécanisme de connexion de l’appareil en ajoutant un paramètre de requête statique et spécialement conçu dans des chemins de requête HTTP spécifiques. Comme le contrôle d’authentification fait confiance à ce paramètre plutôt que de valider une session ou un jeu d’identifiants, toute requête le contenant est traitée comme si elle provenait d’un processus interne privilégié.

Une exploitation réussie accorde un accès administratif complet à l’interface web de l’appareil, y compris les flux vidéo en direct et enregistrés, la configuration de l’appareil, les données des comptes utilisateurs et — sur de nombreuses branches de firmware — la possibilité de télécharger le fichier de configuration complet, qui contient lui-même des identifiants stockés faiblement cryptés. La vulnérabilité ne nécessite aucune interaction de l’utilisateur, aucune authentification préalable et aucune position réseau non standard, ce qui, combiné à l’ampleur de la base installée d’Hikvision, en a fait une cible persistante pour le recrutement de botnets (par exemple, activités de la famille Reaper/IoTroop) et la récolte de flux de surveillance depuis sa divulgation.

2. Produits concernés

La vulnérabilité a été confirmée sur plusieurs familles de produits Hikvision utilisant des branches de firmware antérieures au correctif de sécurité de 2017. Les lignes représentatives affectées incluent :

• Série DS-2CD2xx2F-I — firmware V5.2.0 (build 140721) à V5.4.0 (build 160530)
• Série DS-2CD2xx0F-I — firmware V5.2.0 (build 140721) à V5.4.0 (build 160401)
• Série DS-2CD2xx2FWD — firmware V5.3.1 (build 150410) à V5.4.4 (build 161125)
• Série DS-2CD4x2xFWD — firmware V5.2.0 (build 140721) à V5.4.0 (build 160414)
• Série DS-2CD4xx5 — firmware V5.2.0 (build 140721) à V5.4.0 (build 160421)
• Série PTZ DS-2DFx — firmware V5.2.0 (build 140805) à V5.4.5 (build 160928)
• Série DS-2CD63xx et certaines gammes de produits NVR/DVR partageant la même base de code du serveur web

Hikvision a également souligné une complication persistante spécifique à cette CVE : une large population d’appareils du « marché gris » vendus en dehors des canaux de distribution autorisés exécutent un firmware modifié et non Hikvision. Les mises à jour standard du firmware ne corrigent pas ces unités de manière fiable et, dans certains cas, rétablissent l’interface plutôt que de la corriger.

3. Analyse technique

3.1 Cause racine

L’authentification standard des appareils Hikvision repose sur une authentification HTTP Basic/Digest protégeant l’interface de gestion web. Cependant, dans les firmware vulnérables, un sous-ensemble de points de terminaison de gestion des requêtes internes contient un chemin d’authentification secondaire non documenté, destiné à un usage interne/de débogage. Ce chemin n’effectue pas de recherche d’identifiants — il inspecte la requête pour la présence d’un jeton fixe codé en dur et, s’il est trouvé, traite la requête comme pré-authentifiée, contournant ainsi complètement les contrôles d’accès basés sur les rôles (RBAC) normaux.

Le jeton est une représentation encodée en Base64 d’une paire d’identifiants par défaut statiques intégrée dans le firmware lui-même. Comme il s’agit d’une constante plutôt que d’une valeur de session dérivée, elle est identique sur tous les appareils vulnérables, quel que soit le mot de passe administrateur réellement configuré sur cette unité — changer le mot de passe administrateur n’atténue pas la vulnérabilité.

3.2 Chemin d’exploitation

À un niveau élevé, l’exploitation suit cette séquence :

1. L’attaquant identifie un appareil Hikvision accessible (généralement via l’empreinte Shodan/Censys du port de gestion web exposé).
2. Une requête HTTP GET fabriquée est envoyée à un point de terminaison vulnérable connu, avec le jeton d’authentification statique ajouté comme paramètre de requête, au lieu de présenter un nom d’utilisateur/mot de passe.
3. Le gestionnaire de requêtes du firmware vulnérable valide le jeton à la place d’une session ou d’identifiants, et traite la requête avec des privilèges d’administrateur.
4. L’attaquant peut désormais énumérer et modifier la configuration de l’appareil, visualiser les flux en direct/enregistrés et — sur les builds concernés — récupérer l’exportation complète de la configuration, qui stocke des identifiants de comptes supplémentaires sous un cryptage faible à clé statique pouvant être inversé hors ligne.

Aucune corruption de mémoire, débordement de tampon ou interaction côté client n’est impliqué ; l’attaque entière est une seule requête HTTP sans état fabriquée, ce qui la rend trivialement scriptable et compatible avec les scanners.

3.3 Pourquoi cela persiste

Trois facteurs expliquent la durée de vie exceptionnellement longue de l’exposition réelle de cette CVE :

• Les appareils sont souvent déployés une fois et jamais revisités pour des mises à jour de firmware, en particulier dans les installations résidentielles et des petites entreprises.
• Les unités du marché gris exécutant un firmware non autorisé ne peuvent souvent pas être corrigées via les canaux officiels.
• La vulnérabilité est facile à indexer — comme l’exploitation est une seule requête HTTP non authentifiée, les outils de scan de masse peuvent énumérer les hôtes vulnérables sur tout l’espace IPv4 à faible coût, ce qui est précisément la manière dont elle a été utilisée pour le recrutement de botnets IoT.

4. Impact

Métrique	Impact
Confidentialité	Complète — la vidéo en direct/enregistrée, la configuration de l’appareil et les identifiants stockés (faiblement cryptés) sont exposés.
Intégrité	Complète — l’attaquant peut modifier la configuration de l’appareil, les comptes utilisateurs et les paramètres de flux.
Disponibilité	Complète — l’attaquant peut désactiver l’enregistrement, redémarrer ou perturber le fonctionnement de l’appareil.
Portée	Modifiée (CVSS v3) — le compromis de l’appareil permet souvent un pivotement vers le réseau plus large ou un recrutement dans des botnets distribués.

5. Détection et indicateurs