CVE-2017-7921 — Telecamere IP / DVR / NVR Hikvision

Autenticazione Impropria — Escalation dei Privilegi Tramite Parametro di Query Artificioso

---

1. Riepilogo Esecutivo

CVE-2017-7921 è una vulnerabilità critica di autenticazione impropria che interessa il componente del server web del firmware su un'ampia gamma di telecamere di rete, DVR e NVR Hikvision. Il difetto consente a un attaccante remoto non autenticato di aggirare completamente il meccanismo di login del dispositivo aggiungendo un parametro di query statico appositamente creato a specifici percorsi di richiesta HTTP. Poiché il controllo di autenticazione si fida di questo parametro anziché convalidare una sessione o un set di credenziali, qualsiasi richiesta che lo trasporta viene trattata come se provenisse da un processo interno privilegiato.

Lo sfruttamento riuscito concede accesso amministrativo completo all'interfaccia web del dispositivo, inclusi flussi video live e registrati, configurazione del dispositivo, dati degli account utente e — su molti rami di firmware — la possibilità di scaricare il file di configurazione completo del dispositivo, che a sua volta contiene credenziali memorizzate debolmente crittografate. La vulnerabilità non richiede interazione utente, autenticazione preventiva o posizione di rete non standard, il che, combinato con la scala della base installata di Hikvision, l'ha resa un bersaglio persistente per il reclutamento di botnet (ad esempio, attività della famiglia Reaper/IoTroop) e per il raccolto di feed di sorveglianza sin dalla divulgazione.

2. Prodotti Affetti

La vulnerabilità è stata confermata su diverse famiglie di prodotti Hikvision che eseguono rami di firmware antecedenti alla patch di sicurezza del 2017. Linee rappresentative affette includono:

• Serie DS-2CD2xx2F-I — firmware V5.2.0 (build 140721) fino a V5.4.0 (build 160530)
• Serie DS-2CD2xx0F-I — firmware V5.2.0 (build 140721) fino a V5.4.0 (build 160401)
• Serie DS-2CD2xx2FWD — firmware V5.3.1 (build 150410) fino a V5.4.4 (build 161125)
• Serie DS-2CD4x2xFWD — firmware V5.2.0 (build 140721) fino a V5.4.0 (build 160414)
• Serie DS-2CD4xx5 — firmware V5.2.0 (build 140721) fino a V5.4.0 (build 160421)
• Serie PTZ DS-2DFx — firmware V5.2.0 (build 140805) fino a V5.4.5 (build 160928)
• Serie DS-2CD63xx e linee di prodotti NVR/DVR selezionate che condividono lo stesso codebase del server web

Hikvision ha anche segnalato una complicazione in corso specifica per questa CVE: una grande popolazione di dispositivi "mercato grigio" venduti al di fuori dei canali di distribuzione autorizzati esegue firmware modificato non Hikvision. Gli aggiornamenti standard del firmware non risolvono in modo affidabile queste unità e in alcuni casi ripristinano l'interfaccia anziché applicare la patch.

3. Analisi Tecnica

3.1 Causa Principale

L'autenticazione standard dei dispositivi Hikvision è basata su HTTP Basic/Digest auth a protezione dell'interfaccia di gestione web. Nel firmware vulnerabile, tuttavia, un sottoinsieme di endpoint di gestione delle richieste interne contiene un percorso di autenticazione secondario e non documentato destinato a uso interno/debug. Questo percorso non esegue una ricerca di credenziali — controlla la presenza nella richiesta di un token fisso e hardcoded e, se trovato, tratta la richiesta come pre-autenticata, bypassando completamente i normali controlli di accesso basati sui ruoli (RBAC).

Il token è una rappresentazione codificata in Base64 di una coppia di credenziali predefinite statiche incorporate nel firmware stesso. Poiché è una costante anziché un valore di sessione derivato, è identico su ogni dispositivo vulnerabile indipendentemente dalla password amministratore effettivamente configurata su quell'unità — cambiare la password amministratore non mitiga la vulnerabilità.

3.2 Percorso di Sfruttamento

A livello generale, lo sfruttamento segue questa sequenza:

1. L'attaccante identifica un dispositivo Hikvision raggiungibile (comunemente tramite fingerprinter di Shodan/Censys sulla porta di gestione web esposta).
2. Viene inviata una richiesta HTTP GET creata a un endpoint vulnerabile noto con il token di autenticazione statico aggiunto come parametro di query, anziché presentare un nome utente/password.
3. Il gestore di richieste del firmware vulnerabile convalida il token invece di una sessione o credenziale e serve la richiesta con privilegio amministrativo.
4. L'attaccante può ora enumerare e modificare la configurazione del dispositivo, visualizzare flussi live/registrati e — su build affette — recuperare l'esportazione completa della configurazione, che memorizza credenziali aggiuntive sotto crittografia debole a chiave statica che può essere invertita offline.

Non sono coinvolti corruzione della memoria, overflow del buffer o interazione lato client; l'intero attacco è una singola richiesta HTTP creata e senza stato, il che la rende banale da scriptare e facile da scansionare.

3.3 Perché Persiste

Tre fattori spiegano la coda insolitamente lunga di esposizione reale della CVE:

• I dispositivi vengono spesso installati una volta e mai più revisionati per aggiornamenti del firmware, specialmente in installazioni residenziali e di piccole imprese.
• Le unità del mercato grigio che eseguono firmware non autorizzato spesso non possono essere aggiornate tramite canali ufficiali.
• La vulnerabilità è favorevole all'indicizzazione — poiché lo sfruttamento è una singola richiesta HTTP non autenticata, gli strumenti di scansione di massa possono enumerare host vulnerabili nell'intero spazio IPv4 a basso costo, che è esattamente come è stata sfruttata per il reclutamento di botnet IoT.

4. Impatto

5. Rilevamento e Indicatori

• Richieste HTTP GET non autenticate agli endpoint di gestione del dispositivo contenenti un parametro di query aggiunto, non utente, che assomiglia a una stringa di credenziali codificata in Base64.
• Richieste di esportazione della configurazione (ad es., recupero del file di configurazione/backup del dispositivo) originate da sessioni che non hanno mai completato l'autenticazione Basic/Digest standard.
• Connessioni in uscita inaspettate da telecamere/NVR coerenti con il traffico di check-in dei botnet (un indicatore secondario comune una volta che un dispositivo è stato sfruttato in massa).
• Contenuti di rilevamento vendor e di terze parti: firma Check Point IPS CPAI-2017-0876, plugin Tenable.ot tenable_ot_hikvision_CVE-2017-7921.nasl e avviso CISA/ICS-CERT ICSA-17-124-01.

6. Rimedio

• Aggiornare alla versione del firmware Hikvision che risolve questo avviso per il prodotto/modello specifico — verificare tramite il portale ufficiale del firmware Hikvision, non mirror di terze parti.
• Non esporre mai l'interfaccia di gestione web del dispositivo direttamente su internet; posizionare telecamere/NVR dietro una VPN (ad es., WireGuard) o su una VLAN isolata senza forwarding di porte WAN in entrata.
• Disabilitare UPnP sul router/dispositivo in modo che la telecamera non possa riaprire silenziosamente la porta appena chiusa.
• Ruotare tutte le credenziali del dispositivo dopo l'applicazione della patch, poiché un'unità precedentemente sfruttata potrebbe aver avuto il file di configurazione esfiltrato e decrittografato offline.
• Per le unità del mercato grigio o con firmware non autorizzato che non possono essere aggiornate tramite canali ufficiali, isolare o dismettere il dispositivo anziché affidarsi agli aggiornamenti del firmware.
• Monitorare gli indicatori di rilevamento nella Sezione 5 come controllo compensativo su reti dove l'aggiornamento immediato non è fattibile.

7. Prova di Concetto

Un PoC funzionante per CVE-2017-7921 è stato scritto da Jared Brits (K3ysTr0K3R) e viene mantenuto su github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT. Coerentemente con la pratica di divulgazione responsabile, questo write-up non incorpora codice di exploit, output di target live o credenziali/filmati catturati.

[ Riservato per screenshot PoC contro un dispositivo di tua proprietà o per cui hai esplicita autorizzazione di test — ad esempio, una telecamera/VM di laboratorio isolata senza proxychains, nessun target di terze parti e nessun filmato live da un'implementazione reale. ]

8. Riferimenti

• Avviso CISA / ICS-CERT ICSA-17-124-01 — Autenticazione Impropria nelle Telecamere IP Hikvision.
• NVD — Dettaglio CVE-2017-7921, nvd.nist.gov.
• Avviso di Ricerca Check Point CPAI-2017-0876 — Bypass dell'Autenticazione nelle Telecamere IP Hikvision.
• Plugin Tenable.ot — tenable_ot_hikvision_CVE-2017-7921.nasl.
• Jared Brits (K3ysTr0K3R), CVE-2017-7921-EXPLOIT — note sulla prova di concetto e divulgazione responsabile, GitHub.

9. Crediti

• Exploit / PoC: Jared Brits (K3ysTr0K3R) — github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT
• Write-up: MK-ULTRA — github.com/MK-ULTRA-project-monarch
• IG: @projectmonarch_mk_ultra

---

Preparato per documentazione di ricerca collaborativa. Questo write-up copre meccanismi della vulnerabilità, impatto, rilevamento e rimedio per riferimento difensivo ed educativo; non include codice exploit pronto all'uso o prove da target non autorizzati.