mk-ultra-project-monarch/cve-2017-7921-writeup-2026Analisi di vulnerabilità su CVE-2017-7921 — un bypass critico di autenticazione non autenticato in telecamere IP/DVR/NVR Hikvision, che copre la causa principale, il percorso di sfruttamento, il rilevamento e la risoluzione.
Autenticazione Impropria — Escalation dei Privilegi Tramite Parametro di Query Artificioso
| ID CVE | CVE-2017-7921 |
| Classe di Vulnerabilità | CWE-287: Autenticazione Impropria |
| Punteggio CVSS v3.0 Base | 10.0 (Critico) — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| Punteggio CVSS v2.0 | 7.5 (Alto) — AV:N/AC:L/Au:N/C:P/I:P/A:P |
| Data di Divulgazione | 2017 (Avviso ICS-CERT ICSA-17-124-01) |
| Vendor | Hikvision Digital Technology Co., Ltd. |
| Stato | Corretto — Hikvision ha rilasciato firmware corretto; i dispositivi non aggiornati e quelli "mercato grigio" rimangono esposti |
| Autore del PoC / Exploit | Jared Brits (K3ysTr0K3R) |
| Autore del Write-up | MK-ULTRA (github.com/MK-ULTRA-project-monarch) |
CVE-2017-7921 è una vulnerabilità critica di autenticazione impropria che interessa il componente del server web del firmware su un'ampia gamma di telecamere di rete, DVR e NVR Hikvision. Il difetto consente a un attaccante remoto non autenticato di aggirare completamente il meccanismo di login del dispositivo aggiungendo un parametro di query statico appositamente creato a specifici percorsi di richiesta HTTP. Poiché il controllo di autenticazione si fida di questo parametro anziché convalidare una sessione o un set di credenziali, qualsiasi richiesta che lo trasporta viene trattata come se provenisse da un processo interno privilegiato.
Lo sfruttamento riuscito concede accesso amministrativo completo all'interfaccia web del dispositivo, inclusi flussi video live e registrati, configurazione del dispositivo, dati degli account utente e — su molti rami di firmware — la possibilità di scaricare il file di configurazione completo del dispositivo, che a sua volta contiene credenziali memorizzate debolmente crittografate. La vulnerabilità non richiede interazione utente, autenticazione preventiva o posizione di rete non standard, il che, combinato con la scala della base installata di Hikvision, l'ha resa un bersaglio persistente per il reclutamento di botnet (ad esempio, attività della famiglia Reaper/IoTroop) e per il raccolto di feed di sorveglianza sin dalla divulgazione.
La vulnerabilità è stata confermata su diverse famiglie di prodotti Hikvision che eseguono rami di firmware antecedenti alla patch di sicurezza del 2017. Linee rappresentative affette includono:
Hikvision ha anche segnalato una complicazione in corso specifica per questa CVE: una grande popolazione di dispositivi "mercato grigio" venduti al di fuori dei canali di distribuzione autorizzati esegue firmware modificato non Hikvision. Gli aggiornamenti standard del firmware non risolvono in modo affidabile queste unità e in alcuni casi ripristinano l'interfaccia anziché applicare la patch.
L'autenticazione standard dei dispositivi Hikvision è basata su HTTP Basic/Digest auth a protezione dell'interfaccia di gestione web. Nel firmware vulnerabile, tuttavia, un sottoinsieme di endpoint di gestione delle richieste interne contiene un percorso di autenticazione secondario e non documentato destinato a uso interno/debug. Questo percorso non esegue una ricerca di credenziali — controlla la presenza nella richiesta di un token fisso e hardcoded e, se trovato, tratta la richiesta come pre-autenticata, bypassando completamente i normali controlli di accesso basati sui ruoli (RBAC).
Il token è una rappresentazione codificata in Base64 di una coppia di credenziali predefinite statiche incorporate nel firmware stesso. Poiché è una costante anziché un valore di sessione derivato, è identico su ogni dispositivo vulnerabile indipendentemente dalla password amministratore effettivamente configurata su quell'unità — cambiare la password amministratore non mitiga la vulnerabilità.
A livello generale, lo sfruttamento segue questa sequenza:
Non sono coinvolti corruzione della memoria, overflow del buffer o interazione lato client; l'intero attacco è una singola richiesta HTTP creata e senza stato, il che la rende banale da scriptare e facile da scansionare.
Tre fattori spiegano la coda insolitamente lunga di esposizione reale della CVE:
| Metrica | Impatto |
|---|---|
| Riservatezza | Completa — video live/registrati, configurazione del dispositivo e credenziali memorizzate (debolmente crittografate) sono esposte. |
| Integrità | Completa — l'attaccante può modificare la configurazione del dispositivo, gli account utente e le impostazioni del flusso. |
| Disponibilità | Completa — l'attaccante può disabilitare la registrazione, riavviare o altrimenti interrompere il funzionamento del dispositivo. |
| Ambito | Cambiato (CVSS v3) — il compromesso del dispositivo consente spesso il pivoting nella rete più ampia o il reclutamento in botnet distribuite. |
tenable_ot_hikvision_CVE-2017-7921.nasl e avviso CISA/ICS-CERT ICSA-17-124-01.